


at 


El lado oscuro 
de la red 


La nueva mafia del ciberespacio 


SL Lectulandia 


Los beneficios de vivir en una sociedad interconectada y globalizada son 
incontables... Igual que los peligros. Compramos en línea, gestionamos 
nuestras cuentas bancarias en línea, nos relacionamos, aprendemos y 
trabajamos en línea. Vivimos en línea. Como consecuencia, el mundo virtual 
se ha convertido en un paraíso para las nuevas formas de criminalidad y en la 
pesadilla de las instituciones encargadas de protegernos de ellas. 


¿Somos demasiado confiados al compartir en el mundo virtual lo que 
pensamos y creemos, todos los detalles de nuestra vida cotidiana? La 
respuesta está en este libro, resultado de dos años de investigación, en el que 
el autor de McMafia, Misha Glenny, escarba con determinación en la 
trastienda del cibercrimen a partir del auge y la desaparición de la web Dark 
Market, dedicada a la compra y venta de datos bancarios de ciudadanos de 
todo el mundo entre 2005 y 2008. 


Tras recorrer medio mundo y entrevistarse con criminales, policías, víctimas 
y «hackers», Glenny desvela en este ensayo con aroma a «thriller» todos los 
secretos de la floreciente industria del cibercrimen, denuncia la insuficiencia 
de los medios policiales y la escasa implicación de las instituciones bancarias 
y, por encima de todo, plantea interrogantes sobre la seguridad en los tiempos 
de internet, convirtiendo El lado oscuro de la red en una lectura obligatoria 
para cualquiera que utilice un ordenador en nuestros días. 
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PRÓLOGO 


crimen(OsigloXXI.com 


A lo largo de su incesante lucha por la comodidad y el crecimiento 
económico, la humanidad ha desarrollado en un brevísimo espacio de tiempo 
un peligroso nivel de dependencia de los sistemas en red: en menos de dos 
décadas, una gran porción de las infraestructuras críticas nacionales (ICN para 
los iniciados) de la mayoría de los países ha pasado a estar controlada por 
sistemas informáticos cada vez más complejos. 

Los ordenadores rigen buena parte de nuestras vidas, del mismo modo que 
regulan nuestras comunicaciones, nuestros vehículos, nuestras relaciones 
comerciales y con el Estado, nuestro trabajo, nuestro ocio, todo. En uno de los 
varios juicios por delitos informáticos a los que he asistido en los últimos 
años, la fiscalía de la Corona británica solicitó una orden preventiva contra un 
hacker. La orden debía entrar en vigor tras la salida de prisión del reo y tenía 
como fin limitar su acceso a internet a una hora a la semana bajo la 
supervisión de un agente de policía. «Cuando mi cliente haya cumplido la 
pena —observó el abogado del acusado durante la vista—, no quedará una 
sola ocupación humana que no esté, de una forma u otra, mediatizada por 
internet. ¿Cómo va a llevar mi cliente una vida normal en esas 
circunstancias?», se preguntaba retóricamente. 

Razón no le faltaba. Por regla general, cuando nos olvidamos el teléfono 
móvil en casa, ni que sea por unas pocas horas, sentimos una intensa irritación 
y una sensación de ausencia que, entre los usuarios con mayor grado de 
dependencia, puede derivar en ansiedad. Lo curioso es que, cuando nos 
privamos del aparato por unos días, esa corrosiva sensación de incomodidad 
se ve sustituida a menudo por un sentimiento de liberación al vernos 
devueltos a un mundo, no tan lejano, en el que ni teníamos ni necesitábamos 
teléfonos móviles y en el que organizábamos nuestras vidas sin ellos. Hoy en 
día, la mayoría de las personas se creen incapaces de vivir sin esas pequeñas 
computadoras portátiles. 
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Tal vez el símil más próximo a los ordenadores sea el de los vehículos de 
motor. Cuando los coches se convirtieron en bien familiar de uso corriente a 
partir de la década de 1940, solo un reducido número de conductores conocía 
el funcionamiento de un motor. No obstante, no pocos de ellos eran capaces 
de reparar su vehículo fuera cual fuese la causa de la avería. Aún más, sabían 
cómo manipular un carburador para llegar hasta casa y la mayoría se las 
habría apañado al menos para cambiar un neumático pinchado. 

En la actualidad, si se trata tan solo de un pinchazo, todavía cabe la 
posibilidad de que lleguemos a nuestro destino. Sin embargo, las averías son, 
cada vez más, el resultado de fallos del ordenador, la caja de plástico negro 
que generalmente se encuentra detrás del motor. Si ese es el caso, ni siquiera 
un mecánico de tanques experimentado será capaz de poner el coche en 
marcha. Con un poco de suerte, un ingeniero informático podrá repararlo, 
pero en la mayoría de casos será necesario reemplazar la unidad. 

Los sistemas informáticos son mucho más complejos y frágiles que los 
motores de combustión interna, por lo que solo una exigua minoría de 
personas son capaces de abordar el problema, más allá del consabido mantra: 
«¿Has intentado reiniciarlo?». 

Nos encontramos en estos momentos en una situación en que una 
minúscula élite (llámeselos geeks, frikis, hackers, piratas, segurócratas O 
como se quiera) posee un conocimiento profundo de la tecnología —cuya 
influencia en nuestras vidas es cada día mayor en fuerza y extensión—, 
mientras que el resto de nosotros no tenemos la más remota idea de nada. Caí 
por primera vez en la cuenta de este hecho durante la investigación de 
McMafia, mi anterior libro sobre el crimen organizado global. Viajé a Brasil 
con el propósito de investigar el tema de los delitos informáticos, porque ese 
fascinante país, pese a sus muchas virtudes, es uno de los principales núcleos 
de malas prácticas en la web, aunque por entonces casi nadie lo sabía. 

Ahí conocí a unos ciberladrones que habían ideado un método de phishing 
de una eficacia extraordinaria. El phishing sigue siendo uno de los pilares de 
la delincuencia en internet. Existen dos modalidades básicas. En una, la 
víctima abre un correo basura. El archivo adjunto contiene un virus que 
permite que otro ordenador, situado en cualquier lugar del mundo, pase a 
controlar la actividad del ordenador infectado, incluida la introducción de 
claves bancarias. El otro método consiste en redactar un mensaje de correo 
que parezca enviado por un banco u otra institución en el cual se solicite la 
confirmación del nombre de usuario y la contraseña. Si el receptor pica, el 
pirata puede utilizar sus datos para acceder a algunas o todas sus cuentas de 
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internet. Los hackers brasileños me enseñaron paso a paso cómo se habían 
embolsado decenas de millones de dólares procedentes de cuentas bancarias 
de Brasil, España, Portugal, Reino Unido y Estados Unidos. 

A continuación, visité la brigada informática de Brasilia, que había 
detenido a cuatro miembros de ese mismo grupo criminal (si bien la policía 
no dio nunca con la pista de al menos otros ocho), y más tarde me entrevisté 
con el jefe de la X-Force, el departamento de operaciones encubiertas de la 
compañía de seguridad informática estadounidense ISS. En el transcurso de 
una semana me di cuenta de que el crimen organizado convencional o 
tradicional, por pintoresco y variado que pueda ser, comporta riesgos mucho 
mayores que la delincuencia cibernética. 

Los grupos criminales de la vieja escuela, apegados a los medios y 
tecnologías del siglo xx, deben superar dos importantes obstáculos si 
pretenden prosperar. La policía es la principal amenaza para su negocio. La 
eficacia de las fuerzas de seguridad varía en función del lugar y el momento. 
Los grupos criminales organizados se adaptan a esas variables y eligen cómo 
interactuar con las fuerzas de la ley y el orden: enfrentándose a ellas, 
sobornándolas, corrompiendo a los políticos con autoridad sobre la policía o 
evitando ser detectados. 

Pero existe un segundo problema: las amenazas derivadas de la 
competencia, los piratas que como ellos surcan las aguas a la caza y captura 
de una presa. Como en el caso anterior, pueden enfrentarse a ellos, pueden 
sugerirles formar una alianza o pueden conformarse con dejar que los 
absorban. 

Sin embargo, el grupo criminal no puede en ningún caso limitarse a 
ignorar al oponente; eso supondría el fracaso y las consecuencias podrían ser 
fatales. La comunicación con otras bandas criminales y con la policía es 
crucial para la supervivencia y el desarrollo del grupo, solo así conseguirá 
enviar mensajes adecuados tanto a unos como a otros. 

En Brasil me di cuenta enseguida de que el hampa del siglo xx1I es 
diferente. 

Lo primero que se constata es la dificultad a la hora de identificar a 
quienes conspiran en la red. Las leyes que gobiernan internet son muy 
distintas de un país a otro. Este punto es importante porque, en general, en 
internet los actos delictivos se llevan a cabo desde una dirección IP (protocolo 
de internet, en inglés) de un país contra un particular o una corporación 
establecidos en un segundo país, mientras que el delito puede ser detectado (o 
cobrado) en un tercero. Así, por ejemplo, un agente de policía de Colombia 
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podría averiguar que la dirección IP desde la que se ha coordinado el ataque a 
un banco colombiano procede de Kazajistán, pero podría ser que en ese país 
tal hecho no fuera constituyente de delito, por lo que sus homólogos kazajos 
no tendrían base para investigar el caso. 

Muchos delincuentes informáticos son lo bastante inteligentes como para 
investigar y aprovechar esta clase de discrepancias. «Jamás utilizo tarjetas de 
crédito o débito estadounidenses ——me confesó uno de los mayores 
“tarjeteros” de Suecia—, porque al hacerlo me pondría bajo jurisdicción legal 
de Estados Unidos, independientemente de dónde me encontrase. Por eso solo 
trabajo con tarjetas europeas y canadienses. Me siento feliz y seguro porque 
nunca darán conmigo». 

La divisoria que separa Estados Unidos de Europa y Canadá es 
determinante, ya que esas son las zonas donde se concentra el mayor número 
de víctimas de delitos informáticos. Las leyes europeas y canadienses dan 
mucha mayor protección a las libertades y derechos individuales en la red. 
Los últimos gobiernos estadounidenses han dotado a las fuerzas de seguridad 
de atribuciones que la mayoría de los países europeos nunca admitirían, lo 
cual permite a la policía acceder con más facilidad a los datos de compañías 
privadas en nombre de la lucha contra el crimen y el terrorismo. 

Las consecuencias son profundas y, por el momento, inescrutables. Las 
consideraciones acerca del crimen, de la vigilancia, la privacidad, la 
recopilación de datos por parte de instituciones públicas y privadas, la libertad 
de expresión (por ejemplo Wikileaks), la facilidad de acceso a sitios web (el 
llamado debate de la neutralidad), las redes sociales como herramienta 
política y los intereses nacionales chocan de continuo en el ciberespacio. 

Podría argumentarse, por ejemplo, que la omnipresencia de Google en 
todas las plataformas y aplicaciones vulnera los principios de la legislación 
antimonopolio estadounidense, y que la forma en que acumula datos 
personales facilita la labor de los delincuentes y supone una amenaza a las 
libertades civiles. A lo que Google podría contestar que la esencia de su 
carácter y su éxito reside en su omnipresencia en dichas plataformas y 
aplicaciones, y que esto, en sí mismo, favorece los intereses comerciales y de 
seguridad de Estados Unidos. Si lo desea, el gobierno estadounidense puede 
acceder por medios legales a los datos de Google en cuestión de horas y, 
puesto que Google recaba datos en todo el mundo, esto confiere a Washington 
una inmensa ventaja estratégica. Muchos gobiernos desearían tener los 
mismos privilegios. A diferencia de China, Rusia o los países de Oriente 
Próximo, el gobierno norteamericano no necesita hackear a Google para 
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explorar sus secretos. Le basta con una orden judicial. ¿Vale la pena renunciar 
a ello en nombre de la legislación antimonopolio? 

Internet es un sistema de burbujas a gran escala: apenas se ha resuelto uno 
de los problemas que lo afectan, enseguida surge otro, aparentemente 
insoluble, en un lugar distinto. 

Para las fuerzas del orden, el mayor problema de todos es el anonimato. A 
día de hoy, cualquier usuario de internet puede disimular la localización física 
de un equipo, siempre y cuando cuente con los conocimientos necesarios. 

Hay dos formas básicas de hacerlo: la primera cibermuralla la constituye 
la RPV o red privada virtual, gracias a la cual varios ordenadores pueden 
compartir una misma dirección IP. Lo habitual es que cada dirección IP 
remita a una sola máquina, pero con una RPV es posible que varios 
ordenadores situados en distintos lugares del planeta parezcan hallarse, por 
decir algo, en Botsuana. 

Quienes no tengan bastante con una RPV para sentirse protegidos pueden 
levantar una segunda cibermuralla mediante los llamados servidores proxy. 
Un ordenador situado en las Seychelles puede utilizar un proxy, pongamos, en 
China o Guatemala. El proxy no revela que la IP original transmite desde las 
Seychelles, aunque, por si acaso, el ordenador en cuestión puede formar parte 
además de una RPV situada en Groenlandia. 

Para proyectar tramas de este calibre se requieren conocimientos 
informáticos avanzados, por lo que suelen ser prerrogativa de solo dos de los 
colectivos involucrados en la delincuencia informática: los auténticos hackers 
y los auténticos delincuentes. Ambos son operadores privilegiados y encarnan 
un nuevo tipo de organización criminal, pero dentro del mundo de la 
delincuencia informática representan una minoría. 

A su lado están los piratas de poca monta, que actúan de forma individual 
y obtienen sumas de dinero poco menos que despreciables; a efectos 
prácticos, no pasan de rateros, por eso, y dada la escasez de los recursos a 
disposición de las fuerzas del orden, en muchos casos no vale la pena 
seguirles la pista. Aunque no se molesten en recurrir a RPV ni a proxies ni a 
ningún otro sistema de enmascaramiento, sus mensajes encriptados pueden 
complicarle mucho la vida a la policía. 

En la red pueden obtenerse de forma gratuita programas para encriptar 
comunicaciones escritas (e incluso voz y vídeo); tal vez el más conocido sea 
PGP, siglas que designan algo tan coloquial como Pretty Good Privacy 
(«privacidad bastante buena»). 
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El encriptado es una herramienta poderosa que desempeña un importante 
papel en seguridad informática. Se trata de un lenguaje cifrado a base de 
claves generadas digitalmente cuyas permutaciones alcanzan cifras tan 
astronómicas que solo pueden ser reveladas si se conoce la contraseña. Hoy 
por hoy, los documentos encriptados son seguros, aunque la Agencia 
Nacional de Seguridad (NSA), el organismo de espionaje digital más potente 
del mundo, investiga sin cesar métodos para descifrarlos. En la cofradía del 
cibercrimen se rumorea ya que la NSA y sus homólogas de Canadá, Gran 
Bretaña, Australia y Nueva Zelanda son capaces de romper estos sistemas 
públicos de encriptado gracias al orwelliano sistema Echelon. Echelon, según 
se dice, tiene acceso a mensajes telefónicos, de correo electrónico y por 
satélite de cualquier parte del mundo. 

Las consecuencias políticas de la codificación digital son tan inmensas 
que en la década de 1990 el gobierno de Estados Unidos empezó a clasificar 
los programas de encriptado como «armas», mientras que en Rusia el 
hallazgo por parte de la policía o el KGB de un solo archivo encriptado en un 
ordenador podía significar varios años de prisión, aunque el documento no 
fuera más que la lista de la compra. En un momento en que gobiernos y 
corporaciones atesoran cada vez más información personal acerca de sus 
ciudadanos o clientes, el encriptado es una de las pocas medidas defensivas 
con que los particulares todavía pueden garantizar su privacidad. Al mismo 
tiempo, supone un instrumento precioso para quienes se dedican a desarrollar 
actividades criminales en la red. 

De la misma manera que los delincuentes tradicionales crean jergas para 
identificar a sus amigos, enemigos, policías o rivales, los cibervillanos se 
enfrentan permanentemente al reto de evaluar las credenciales de autenticidad 
de las personas con quienes chatean en la red. Parte de este libro explica cómo 
han desarrollado sus métodos de identificación y cómo las fuerzas de policía 
de todo el mundo han intentado contrarrestar la habilidad de los hackers para 
distinguir a las autoridades y a los llamados confidentes en la red. 

En la década de 1990, la forma más sencilla de evitar que individuos no 
deseados interfirieran en la actividad criminal pasaba por introducir un rígido 
sistema de veto y de aceptación de miembros en las webs dedicadas al debate 
de operaciones ilícitas en internet. A pesar de esas medidas de seguridad, era 
cuestión de meses que el Servicio Secreto estadounidense O agencias de 
inteligencia como el FSB, sucesor del KGB, navegaran sin problemas por 
esas páginas, a las que accedían fingiéndose delincuentes o captando 
confidentes que trabajasen para ellos. 
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La actuación de ciertos agentes fue tan convincente que algunas agencias 
de seguridad llegaron a perseguir a policías infiltrados de otros países, al 
confundirlos con delincuentes reales. 

Fruto de esta dedicación, las fuerzas policiales y de espionaje han 
elaborado, a lo largo de la última década, una nutrida base de datos de 
hackers criminales: en ella constan sus alias, sus lugares de residencia 
verdaderos o supuestos, los tipos de actividades a las que se dedican y las 
personas con las que se comunican más a menudo. Los datos de los 
ciberdelincuentes de nivel inferior están muy difundidos. Sin embargo, a 
pesar de toda esta información, sigue siendo extremadamente difícil procesar 
a Criminales informáticos. 

En este punto es donde la propia naturaleza de la red —en especial sus 
interconexiones— crea enormes dolores de cabeza a las fuerzas de la ley y el 
orden: nadie puede estar cien por cien seguro de con quién se comunica en la 
red. ¿Se trata de un hacker normal y corriente? ¿O de alguien con amigos en 
las altas esferas? ¿Será un criminal? ¿Quizá un secreta? ¿O un investigador 
militar que trabaja evaluando las técnicas delictivas de los hackers? ¿Estamos 
viendo a nuestro interlocutor o es él quien nos ve a nosotros? El dinero que 
gana, ¿lo quiere para sí o para Al Qaeda? 

«Es como una partida de ajedrez en siete dimensiones —ha observado el 
futurólogo Bruno Guissani— en la que nunca sabes quién es tu oponente en 
un momento dado». 

La llegada al cuartel general de Google en Mountain View, California, no 
fue como ver el Taj Mahal por primera vez, pero aun así sentí un espasmo de 
sobrecogimiento al aparcar en la avenida Charleston, frente al letrero 
multicolor que anuncia una de las maravillas del mundo posindustrial. 

La velocidad a la que Google se ha fundido con nuestra conciencia, con 
todos los pros y contras que asociamos con las sustancias narcóticas, no tiene 
precedentes. Sus únicos rivales son sus primos en la familia de los 
mastodontes digitales, como Facebook, Microsoft y Amazon. Pero ni siquiera 
estos pueden presumir del éxito de Google, que facilita, guía y observa 
nuestras vidas cada vez que sus tenebrosos servidores escupen tropecientos 
bytes de información solicitada, al tiempo que sorben y almacenan perfiles de 
datos individuales y colectivos relativos a miles de millones de seres 
humanos. Estos datos nos describen mejor de lo que nosotros mismos 
creemos. Solemos encogernos de hombros cuando nos preguntan qué pasaría 
si esa información cayera en malas manos. Puede que eso ya haya ocurrido... 


www.lectulandia.com - Página 13 


La alegre mezcla de colores primarios y secundarios que conforma el 
familiar logo de Google se repite por todo el campus. Muchos de los 
voluminosos objetos esparcidos con escrupuloso desorden por el lugar tienen 
los bordes suaves y redondeados. Las esculturas están diseñadas para poder 
sentarse encima, contemplarlas o jugar con ellas, de tal modo que el complejo 
en su conjunto recuerda a una enorme guardería o, según el nivel de ansiedad 
y paranoia de cada cual, a la estrambótica ciudad de juguete de The Prisoner 
(la serie televisiva de la década de 1960), donde iba a parar todo aquel que 
amenazaba la seguridad del país y de la cual no había escapatoria. ¿Es mi 
imaginación o aquí todo el mundo, desde el personal de limpieza hasta el de 
dirección, sonríe como si estuviera en trance? Esto refuerza la interpretación 
paranoica de la esencia de Google y hace pensar que quizá exageran en lo de 
no parecer los malos de la película. No acabo de saber si estoy en un sueño o 
en una pesadilla. 

Casi suspiro de alivio cuando me encuentro con Corey Louie, director de 
Confianza y Seguridad de Google, porque la gente que se ocupa de asuntos de 
seguridad suele ser seria y con cierta tendencia al secretismo, trabaje para 
quien trabaje. Su conducta se agradece como contraste con el aire de 
homogeneidad budista que se respira en Google. Louie, un elegante asiático 
norteamericano sobre la treintena y de maneras bruscas aunque afables, se 
curtió en el mundo cibernético no de la mano de los lotófagos de Silicon 
Valley, sino del Servicio Secreto estadounidense, en un entorno mucho más 
áspero y masculino. Google lo había contratado dos años y medio antes de mi 
visita, a finales de 2006. En el momento de abandonar las fuerzas de la ley, 
Corey Louie tenía a su cargo la Unidad de Crímenes Electrónicos del Servicio 
Secreto. Lo sabía casi todo sobre ataques a redes (las llamadas intrusiones o 
penetraciones), fraudes con tarjeta de crédito, los omnipresentes ataques 
distribuidos de denegación de servicio o DDoS (capaces de deshabilitar redes 
y sitios web) y el malware, que poco después del cambio de milenio empezó a 
extenderse como una plaga de ratas. También sabía mucho sobre tráfico de 
tarjetas, el pan de cada día en su campo. El tráfico de tarjetas consiste en la 
compraventa de datos de tarjetas de crédito robadas o pirateadas. Su número 
asciende a cientos de miles en todo el mundo, y se utilizan para comprar 
bienes o retirar metálico en cajeros. 

¿Cómo podía Google resistirse a una baza estratégica como Corey Louie? 
De hecho, no pudo. ¿Y cómo podía Louie resistirse a un estratégico cambio 
de carrera en Google? La brisa balsámica de la costa pacífica del sur de 
Estados Unidos frente a la humedad de Washington, el gélido invierno y una 
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única semana para ver los cerezos en flor; la vestimenta informal de la Costa 
Oeste frente a los rígidos cuellos de la capital; el dinero y la sensación de 
participar en un proyecto dinámico frente a la monotonía del trabajo para el 
gobierno. No había color. 

Circulando por la autopista 101 desde San Francisco, el viajero pasa por 
delante de otros iconos cibernéticos aparte de Google: Sun Microsystems, 
Yahoo! y McAfee se cuentan entre los muchos nombres famosos cuyo cuartel 
general se desliza ante las ventanillas de camino al sur. En todas las 
compañías que uno visita para tratar asuntos de seguridad, aparecen exagentes 
del gobierno provenientes del FBI, el Servicio Secreto, la CIA, la DEA (la 
Administración para el Cumplimiento de las Leyes contra la Droga) y el 
Servicio de Inspección Postal estadounidense. Falanges enteras de antiguos 
agentes secretos han emigrado de los asépticos alrededores de Washington 
para darse a la buena vida en Silicon Valley, seducidos por unas condiciones 
tan jugosas como las que llevaron el cine a Hollywood. 

Este flujo de los organismos estatales hacia el sector privado resulta en un 
claro déficit para el gobierno. El Tesoro dedica fondos a formar 
ciberinvestigadores que, en cuanto tienen unos años de experiencia, se 
trasladan a climas más plácidos. La inversión no cae del todo en saco roto, 
pues gracias a ella se han consolidado los vínculos entre los sectores público y 
privado. Google no solo es una corporación privada; a ojos de la Casa Blanca, 
es un activo nacional estratégico. El mensaje de Washington es claro: atacad a 
Google y estaréis atacando a Estados Unidos. En ese contexto, que alguien 
como Corey Louie pueda descolgar el teléfono para llamar a sus antiguos 
colegas del Servicio Secreto y avisarles, por ejemplo, de que ha habido un 
ataque masivo contra Gmail hace que la colaboración, tan vital, entre los 
sectores privado y público en el campo de la seguridad en internet sea mucho 
más ágil. 

Lo ignoro, pero apuesto a que el nivel de vida de Corey ha mejorado 
desde que se mudó al Oeste, claro que a cambio de trabajar muy duro. Google 
es uno de los dos mayores depósitos de datos del mundo; el otro es Facebook. 
Eso es lo que los convierte en negocios lucrativos (los anunciantes no dudan 
en pagar por conocer los hábitos personales que esos datos reflejan) y lo que 
hace que tanto los hackers que trabajan por cuenta propia como los que 
actúan en nombre de las mafias, de la industria o de los Estados rivales los 
codicien como si fueran el Santo Grial. 

Hacia el final de nuestra conversación, Corey me habló de un amigo suyo, 
policía, que durante mucho tiempo se había dedicado a confraternizar con 
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hackers. Lo había hecho tan bien que había logrado convertirse en 
administrador de un importantísimo sitio web ilegal. «Imagino que le 
encantaría hablar contigo —dijo—. Gestionaba una web que se llamaba Dark 
Market». Era la primera vez que oía hablar de la web y del agente especial del 
FBI Keith J. Mularski. Me encontraba al principio de un extraño viaje. 

Aunque se hallaban repartidos por una docena de países, decidí conocer y 
entrevistarme con el mayor número posible de protagonistas de la historia de 
Dark Market: ladrones, policías, agentes dobles, abogados, hackers, crackers 
y vulgares delincuentes. Consulté asimismo una cantidad ingente de 
documentos judiciales relativos a Dark Market y las personas involucradas en 
el caso. Delincuentes informáticos retirados o en activo y agentes de policía 
me suministraron documentación e información adicional. No pude acceder a 
ningún archivo completo de la web, pero conseguí examinar partes 
significativas. De todas las personas a las que he conocido, el agente 
Mularski, que posee el archivo casi íntegro de Dark Market, es la única que 
ha tenido acceso total a la documentación. 

Aparte de ese archivo escurridizo, algunas de las pruebas documentales — 
aunque útiles— se revelaron inexactas; me refiero sobre todo al material 
aportado por la fiscalía en muchos de los juicios. A mi entender, dichas 
inexactitudes no fueron fruto de la incuria o el afán de venganza, ni tampoco 
fueron intencionadas, sino que más bien reflejaban la naturaleza 
extremadamente técnica y a menudo confusa de las pruebas de los juicios 
relacionados con la informática. La primera vez que tuvieron que afrontar un 
caso de delitos en la red, jueces y letrados tuvieron los mismos problemas que 
cualquiera de nosotros para comprender el medio. 

Así pues, el núcleo de la historia remite a los personajes y a sus acciones. 
Por consiguiente, el testimonio que aquí se presenta se basa en buena medida 
en recuerdos personales que abarcan más de una década. Aparte de la 
consabida falibilidad del recuerdo, todos los actores implicados tenían 
intereses que defender, y para ello intentaron destacar determinadas facetas de 
la actividad de Dark Market y ocultar otras. En este sentido, se vieron 
beneficiados por la naturaleza ambigua de la comunicación vía internet, un 
medio tolerante con la mentira y el disimulo. 

Mis intentos de dilucidar quién mentía, exageraba, inventaba o contaba la 
pura verdad triunfaron solo en parte. Todos los entrevistados eran personas de 
una inteligencia extraordinaria, si bien algunos carecían de la fuerza moral 
necesaria para mantenerse a flote en las procelosas aguas de la 
ciberdelincuencia. Sin embargo, a medida que escarbaba más y más en el 
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extraño mundo de Dark Market, caí en la cuenta de que las distintas versiones 
que circulaban acerca de la historia de la web eran contradictorias e 
irreconciliables. Ha sido imposible establecer con certeza cuál fue la 
verdadera relación entre los implicados y quiénes eran en última instancia sus 
colaboradores. 

Internet ha generado cantidades abrumadoras de información, de la cual 
un tanto por ciento considerable es inútil, otro tanto por ciento no ha sido 
interpretada y una pequeña parte es peligrosamente falsa. Dada nuestra 
creciente dependencia de los sistemas en red y la interconectividad gracias a 
la cual grupos altamente especializados, como los hackers y los agentes de 
inteligencia, se mueven entre la delincuencia, el espionaje industrial y la 
guerra informática, reviste una importancia intelectual y social de primer 
orden documentar e intentar comprender la historia de fenómenos como Dark 
Market, aun cuando las pruebas sean fragmentarias, tendenciosas y se hallen 
esparcidas tanto por el mundo real como por el virtual. 
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1 


LLAMA UN INSPECTOR 


Yorkshire, Inglaterra, marzo de 2008 


Aquella mañana de principios de marzo de 2008, el reverendo Andrew Arun 
John se encontraba en un ligero estado de shock. No era de extrañar. No solo 
acababa de sobrevivir a un largo viaje desde Delhi en clase económica, sino 
que faltaban dos semanas para la apertura de la nueva terminal 5 de Heathrow 
y el aeropuerto internacional más transitado del mundo podía llegar a 
convertirse en un calvario para los pasajeros. Su vuelo había despegado de la 
India hacia las tres de la madrugada y, una vez superado el control de 
pasaportes y el caos de la recogida de equipajes, todavía le esperaba un viaje 
de cuatro horas en dirección norte hasta Yorkshire. 

Al encender el teléfono móvil, el reverendo John vio que tenía un número 
exagerado de llamadas perdidas de su esposa. Sin darle tiempo a telefonear 
para preguntarle a qué venía tanto revuelo, ella volvió a llamarlo. Le explicó 
que la policía había telefoneado varias veces solicitando ponerse en contacto 
con él de manera urgente. 

Desconcertado y confuso, el reverendo le espetó a su mujer que lo que 
decía era absurdo, aunque enseguida se arrepintió del tono de sus palabras. 

Su mujer, por suerte, prefirió no hacer caso de su mal humor y, de forma 
clara y ordenada, le explicó que la policía quería avisarle que alguien había 
accedido a su cuenta corriente, que el asunto era urgente y que debía llamar al 
agente responsable lo antes posible. 

La llamada de su esposa acabó de exasperar al reverendo; su cerebro, ya 
exhausto, trabajaba a marchas forzadas. «¿Quién puede haber accedido a mi 
cuenta corriente? —se preguntó—. ¿A qué cuenta? ¿A la que tengo aquí en 
Barclays? ¿A la del Standard Bank en Sudáfrica? ¿O a la del 1cic1 en la India? 
¿Acaso a las tres? Es más: ¿qué quiere decir esto exactamente? ¿Cómo es 
posible que alguien acceda a mi cuenta corriente?». 

Después de un vuelo tan agotador, todo aquel asunto le había provocado 
al reverendo un estado de ansiedad y tensión. «Ya me ocuparé de esto más 
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tarde, cuando esté en Bradford y haya descansado», se dijo a sí mismo. 

Bradford dista trescientos veinte kilómetros del aeropuerto de Heathrow. 
Otros cien kilómetros al este de la ciudad se encuentra Scunthorpe, donde el 
pequeño equipo del sargento Chris Dawson esperaba ansioso la llamada del 
reverendo John. El detective empezaba a presentir que aquel caso podía 
convertirse en terreno pantanoso; además, se encontraba con un problema 
aparentemente insuperable: era incapaz de abarcarlo. Las pruebas reunidas 
hasta el momento incluían cientos de miles de archivos informáticos, algunos 
de ellos lo bastante extensos como para contener trescientas cincuenta veces 
las obras completas de Shakespeare. En el interior de esos documentos había 
una biblioteca de dimensiones planetarias repleta de cifras y mensajes en un 
lenguaje impenetrable para cualquiera a excepción de la reducida élite 
iniciada en los arcanos de la terminología de la delincuencia informática. 

Es posible que el detective Dawson no supiera nada sobre esa nueva y 
peculiar rama de la investigación criminal, pero era un buen agente de 
homicidios y llevaba muchos años de servicio a sus espaldas. Entre aquella 
infinidad de listas y series numéricas, detectó un conjunto de datos sensibles 
que en condiciones normales nunca habrían podido llegar a manos de un 
particular. 

No obstante, como muchos agentes de policía descubrieron a lo largo de 
la primera década del siglo XXI una cosa era dar con una información 
preciosa y otra muy distinta intentar relacionarla con un delito específico. 

Si el detective Dawson quería persuadir a alguno de los magistrados de la 
aletargada ciudad de Scunthorpe, en el estuario del Humber, de que decretase 
prisión preventiva contra su sospechoso, tendría que aportar pruebas que 
demostrasen con claridad meridiana su implicación en un delito concreto. 
Además, cabía la posibilidad de que el juez fuera un anciano decrépito que no 
supiera usar ni el mando del televisor, ya no digamos el correo electrónico. 
No bastaba con convencer: su acusación debía ser irrebatible y, a la vez, lo 
bastante simple como para que cualquiera pudiera comprenderla. 

El tiempo apremiaba. El sospechoso solo podía ser retenido durante tres 
días y ya habían pasado dos. Entre los archivos había cifras, registros de 
visitas, conversaciones y a saber qué más. Dawson solo tenía pequeños 
retazos de pruebas. 

Se quedó observando un folio A4 donde había impresas una cincuentena 
de palabras. Entre ellas figuraba un número de cuenta (75377983), la fecha de 
apertura de dicha cuenta (24 de febrero de 2006), así como el saldo (4022,81 
libras). También había un nombre (Sr. A. A. John), una dirección de correo 
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electrónico (stpauls(dlegend.co.uk), una dirección física (63 St. Paul's Road, 
Manningham, Bradford), un nombre de usuario corporativo y, lo más 
importante, una contraseña (252931). 

Si conseguía confirmar la identidad del titular de la cuenta, y si este 
declaraba no haber divulgado su contraseña de forma voluntaria, tal vez 
Dawson podría convencer al juez de que abriera diligencias contra el acusado 
y le negase la fianza. Quizá con eso el sargento ganaría el tiempo necesario 
para hacerse una idea de lo que tenía entre manos. 

Al intentar ponerse en contacto con el señor A. A. John, Dawson había 
descubierto que era ministro de la Iglesia de Inglaterra y que se encontraba de 
viaje por la India con un grupo de niños desfavorecidos. También le habían 
informado que no podría hablar con él hasta que volviese de Delhi. En teoría, 
el reverendo llegaría pocas horas antes de que el sospechoso tuviera que ser 
puesto en libertad. Si no se presentaba, las arenas movedizas del caso 
engullirían el torrente de datos que Dawson había encontrado. Y junto con los 
datos, sin duda también el sospechoso se fundiría en el anonimato de su alter 
ego virtual. 

Por desgracia para Dawson, el reverendo John estaba tan alterado tras la 
conversación telefónica con su mujer que decidió no abordar el asunto hasta 
llegar a su parroquia, Manningham. Tanto fue así que desconectó el teléfono 
móvil y se concentró en el largo trayecto desde el aeropuerto. 

Pero ¿por qué estaba tan alterado? 

El reverendo John, fornido y de poca estatura, era un hombre de 
temperamento jovial. Nacido en la linde del desierto de Thar, en Rajastán, su 
rostro ligeramente hexagonal solía desprender un halo radiante a través de las 
gafas, que le confería cierto aire profesoral. Había nacido en el seno de la 
minoría cristiana de la India y, tras ingresar en el sacerdocio, había trabajado 
durante quince años para la Iglesia anglicana de la India en Delhi. 

En 1996 la Iglesia de la provincia de Sudáfrica se puso en contacto con él 
para que tomase a su cargo una parroquia en el municipio indio de Lenasia, 
cinco kilómetros al sur de Soweto, durante la transición del apartheid al 
régimen multipartidista. 

El cambio habría sido un reto para cualquiera; su nuevo hogar vivía 
momentos delicados. La alegría con que fue recibido el fin del régimen racista 
se truncó al constatarse cuán profundo era el resentimiento acumulado a lo 
largo de los doscientos años anteriores. Forasteros como el reverendo John 
necesitaban sofisticadas herramientas políticas y sociales para penetrar el 
significado de esas tensiones y averiguar cómo contribuir a mitigarlas. 
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El éxito de su labor en Sudáfrica no pasó desapercibido entre la jerarquía 
de la Iglesia anglicana y, ochos años más tarde, el obispo de Bradford, en el 
condado inglés de West Yorkshire, le propuso un nuevo reto: le ofreció un 
puesto en Manningham, un distrito residencial próximo al centro de Bradford. 
El reverendo John dudó: Inglaterra siempre le había parecido un lugar 
inhóspito, un país marcado por el tiempo desapacible y su descontrolada 
expansión urbanística. 

También sabía que Manningham no era precisamente un lecho de rosas. 
Muchos británicos veían en Bradford, y sobre todo en Manningham, un 
símbolo de los fallidos intentos del país por integrar a sus diversos grupos 
étnicos y religiosos. Otros, menos benévolos, veían en Manningham una 
oportunidad de sembrar discordia entre las distintas comunidades. 

En julio de 2001, habían estallado en el barrio breves pero violentos 
disturbios que evidenciaron un distanciamiento creciente entre la numerosa 
comunidad asiática y la población blanca. Manningham ya había 
experimentado el fenómeno de la emigración blanca, y en el momento de la 
llegada del reverendo John, tres años después de los altercados, el 75 por 
ciento de la población era musulmana, en gran parte originaria de los distritos 
rurales del norte de Pakistán. «El 25 por ciento restante son cristianos, aunque 
solo un 5 por ciento acude a la iglesia. Aquí, la comunidad blanca se percibe 
como la minoría que es», afirma el reverendo John. Aunque el clima, la 
arquitectura y la cultura no guardaban parecido alguno con las barriadas de 
Johannesburgo, en otros aspectos  Manningham se  asemejaba 
asombrosamente a Sudáfrica. 

Era un destino difícil. Cuando las nubes se juntaban o empezaba a nevar, 
Casi nada se podía hacer en aquellas calles flanqueadas por sombríos edificios 
neogóticos. Poco más de un siglo antes, Manningham había sido una zona en 
la que todo el mundo deseaba vivir. Fue un periodo, hoy olvidado para el 
resto del planeta, en que Bradford era saludada como «la capital lanera del 
mundo», y durante el cual fue un poderoso motor de la revolución industrial 
británica. 

A principios del siglo XXI, sin embargo, Manningham llevaba muchos 
años en decadencia. La prosperidad y el empleo, antaño florecientes, hacía 
mucho tiempo que habían pasado a mejor vida, y su lugar lo habían ocupado 
las drogas, la violencia doméstica, los delitos contra el patrimonio y la 
prostitución. El reverendo John atendía a más gente en el centro de acogida 
—<gente que intentaba escapar del cepo de la pobreza y del crimen— de la que 
acudía a su iglesia los domingos. 
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Siempre bajo la omnipresente amenaza del estallido de la violencia 
latente, el trabajo del reverendo John se desarrollaba en la primera línea de las 
guerras culturales, sociales y de clase de Gran Bretaña. Él, que no era de los 
que se achican por nada, casi siempre tenía una sonrisa a punto, fueran cuales 
fueran las circunstancias. Dadas las dificultades de su trabajo diario, se 
preguntó por qué la noticia de la intrusión en su cuenta corriente lo había 
exasperado tanto. Antes de nada, quería hablar con sus hijos, que sabían algo 
de ordenadores. Luego pensó que lo mejor era contactar sin tardanza con la 
policía para averiguar qué era exactamente lo que había ocurrido. «Lo único 
que quiero —pensó— es resolver esta historia y echarme en la cama lo antes 
posible». 

Reacciones nerviosas como la del reverendo no son infrecuentes. La 
respuesta psicológica al descubrir que hemos sido víctimas de un delito 
informático es similar a la que experimentan quienes han sufrido un robo en 
su domicilio. Aunque la acción se restrinja al ciberespacio, un mundo 
formado por pequeños impulsos electrónicos, la sensación que se genera es de 
vulneración física. Y es que, si el ladrón se ha introducido en nuestra cuenta 
bancaria, ¿qué más puede haber descubierto en la intimidad de nuestro 
ordenador? 

¿Se habrá apoderado de los datos de nuestro pasaporte para que un 
criminal o un agente de inteligencia elaboren documentación falsa? ¿Es 
posible que, mientras usted lee estas líneas, alguien esté examinando los 
correos electrónicos donde guarda información confidencial sobre un colega o 
empleado? ¿Habrá descubierto esos delicados mensajes subidos de tono o 
cualquier otro documento indiscreto que usted haya enviado o recibido? 
¿Existe alguna parcela de su vida a salvo de alguien que haya obtenido acceso 
a su ordenador? 

El reverendo John resolvió llamar al agente de policía del vecino condado 
de Lincolnshire nada más llegar a su acogedora casa sita junto al imponente 
Chapitel de su iglesia de Manningham. 

Que un caso como ese fuera a caer a manos de Chris Dawson, un agente 
de mediana edad con base en Scunthorpe, fue algo francamente insólito. La 
mayoría de los casos de delincuencia informática de Gran Bretaña van a parar 
a las unidades especializadas de tres cuerpos: la policía metropolitana, la 
policía de la ciudad de Londres y la Agencia contra el Crimen Organizado 
(SOCA), también con sede en la capital. La mayor parte de los agentes sin 
formación específica pasan por alto ese tipo de casos debido a su esotérica 
naturaleza. Pero Dawson no era un agente cualquiera, sino un policía con 
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instinto y gran capacidad de observación. Poseía también un discreto encanto, 
y, como buen inglés del norte, tenía un carácter sincero que contribuía a su 
forma de trabajar metódica y precisa. Su buen ojo para los detalles habría de 
serle muy útil en los meses venideros. 

Si a Manningham se la relacionaba con las tensiones étnicas y el declive 
económico, la cercana Scunthorpe (75 000 habitantes), al sur del estuario del 
Humber, era vista como un lugar anodino o como excusa para inventar chistes 
a propósito de su nombre o de los resultados, siempre nefastos, de su equipo 
de fútbol. (En justicia, hay que añadir que por lo menos no heredó el nombre 
escandinavo original, Skumtorp, y que, hasta su descenso en mayo de 2011, el 
Scunthorpe United FC plantó cara a clubes mucho más fuertes que él en la 
segunda división inglesa). Hasta donde alcanza nuestro conocimiento, la 
ciudad nunca había aparecido citada en conexión con actividades criminales a 
gran escala. 

Solo cuatro días antes del regreso del reverendo John de su viaje de 
caridad por la India, el detective Dawson se encontraba trabajando 
tranquilamente en la comisaría central de Scunthorpe. Estaba consultando el 
registro de mando y control, una pantalla de ordenador donde se relacionan la 
información y las denuncias transmitidas por los ciudadanos. Por lo general se 
trata de peleas entre borrachos, de algún caso de violencia doméstica o de 
gatitos que no pueden bajar del árbol. Sin embargo, el miércoles a la una y 
media de la tarde apareció un mensaje que llamó la atención del sargento. Era 
un aviso fuera de lo común. Se volvió hacia su compañero y, con su 
cadencioso acento de Lincolnshire, le dijo: «Vámonos. Será mejor que 
vayamos a echar un vistazo. Parece que en Grimley Smith ocurre algo que 
tiene mala pinta». 
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2 


MIRANDA ANUNCIA UN MUNDO FELIZ 


La página web de Grimley Smith luce una fotografía en tonos sepia de su 
edificio principal tomada en época eduardiana, cuando era uno de los 
primeros salones de exposición y venta de automóviles de Scunthorpe. 
Curiosamente, el establecimiento de la foto anuncia con orgullo el Belsize, 
antiguo símbolo de elegancia sobre ruedas en Gran Bretaña, cuyo fabricante 
tuvo que liquidar el negocio poco después de la primera guerra mundial. Pero 
tanto este venerable antecedente como el dickensiano nombre de Grimley 
Smith llevan a engaño, ya que GSA, como también se la conoce, no fue 
fundada hasta 1992 por cierto señor Grimley y cierto señor Smith. 

Los servicios técnicos que ofrece la compañía son mucho más complejos 
que la venta y reparación de viejas carracas. La empresa está especializada en 
aplicaciones de ingeniería química destinadas a la industria energética y 
farmacéutica, y se cuenta entre las jóvenes compañías de Scunthorpe con 
mayor éxito y presencia internacional. 

Al principio, la plantilla de GSA la formaban tan solo sus dos fundadores, 
pero desde entonces se ha expandido y hoy en día da trabajo a varias docenas 
de ingenieros altamente cualificados. Como todos los negocios en que éxito 
equivale a expansión, GSA creció de forma prometedora pero anárquica. Sus 
ingenieros conseguían contratos para participar en proyectos titánicos en 
lugares tan lejanos como Irán, China y Venezuela. La naturaleza 
especializada de su trabajo y la necesidad de realizar cálculos sin margen de 
error exigían la utilización de potentes programas informáticos. En especial, 
los llamados programas de CAD (diseño asistido por ordenador), que crean 
simulaciones de proyectos en dos y tres dimensiones. 

A mediados de 2007, la compañía había llegado a un punto en que 
necesitaba desesperadamente gestionar su infraestructura informática. La 
opción de externalizar el mantenimiento y la seguridad resultaba demasiado 
Cara, pero al mismo tiempo la compañía veía cómo la gestión de sus 
necesidades cibernéticas cada día se complicaba más. Sus directores 
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decidieron que había llegado el momento de afrontar el problema de una 
forma distinta. 

Darryl Leaning, un agradable muchacho de la ciudad, era la persona ideal 
para el puesto. Aparte de su competencia técnica, era joven y de una 
sinceridad a toda prueba. Aunque quizá lo determinante fue que, tras su 
carácter tranquilo y amistoso, se escondía una perspicacia prodigiosa. Con 
frecuencia se olvida que a un buen gestor informático se le da igual de bien 
gestionar expectativas sociales y psicológicas que reparar aplicaciones. 

Nada más poner los pies en el despacho, Darryl constató que los 
ordenadores de Grimley Smith requerían atención urgente. Su principal 
preocupación era que todos los miembros de la plantilla poseían «privilegios 
de administrador» en sus terminales de trabajo. Podían instalar los programas 
que quisieran y utilizar todos los servicios en línea que se les antojasen (a 
excepción de material pornográfico, que durante la etapa anterior ya había 
sido bloqueado). 

En los ordenadores domésticos, quien ejerce de «administrador» es una 
persona (por lo común, uno de los padres). Él decide, por ejemplo, si se limita 
la cantidad de tiempo que los demás miembros de la familia pasan delante del 
ordenador, o si se restringe el tipo de webs a las que pueden acceder. 

Uno de los «privilegios» más importantes que los ordenadores familiares 
confieren al administrador tiene que ver con la instalación de nuevos 
programas. De este modo, los padres pueden evitar que sus hijos accedan a 
juegos que consideran inapropiados. Pero también pueden impedir la descarga 
de programas de procedencia dudosa, que podrían contener virus u otros 
materiales perniciosos y convertir el entorno digital de la familia en un 
objetivo vulnerable. 

Los mismos principios rigen en un entorno de trabajo, solo que por lo 
común a una escala mayor o más compleja. El primer problema que identificó 
Darryl cuando comenzó a trabajar en Grimley Smith fue la ausencia de un 
administrador central. Ninguna empresa moderna, informó a los directores, 
podía admitir que sus trabajadores subiesen, descargasen o instalasen todo 
cuanto quisieran. 

Les explicó que era preciso establecer un control centralizado para evitar 
que en un descuido alguien permitiera a los virus burlar las defensas de la red. 
Añadió que aquello no implicaba poner en duda la lealtad de sus empleados; 
la gente no instala antivirus en sus sistemas porque sospeche que sus colegas 
quieran infectarlos, pues en la mayoría de los casos eso no ocurre. Lo mismo, 
añadió, valía para la instalación de programas y todo lo demás. En una 
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empresa altamente especializada como GSA, la información tiene un valor 
incalculable. Si cae en las manos equivocadas, puede provocar la ruina de la 
compañía. 

Darryl topó con algunos problemas en su cruzada por purgar el sistema 
informático de Grimley Smith de elementos de riesgo: esos invisibles huecos 
digitales por donde pueden introducirse gusanos, troyanos y virus de forma 
inadvertida. Lo primero que descubrió es que a nadie le gusta perder los 
privilegios de que disfruta; y, aparte de ver cuerpos desnudos contoneándose, 
la plantilla de GSA disfrutaba de muchos. Pese a ser un joven informático, 
Darryl demostró tener las ideas muy claras acerca de los procesos 
psicológicos asociados al uso de ordenadores. Tenía que conseguir a toda 
costa que los trabajadores renunciaran a sus privilegios de administradores 
locales y decidió que el mejor modo de lograrlo era actuando de forma 
gradual. Era consciente de que nadie desea renunciar a lo que tiene, pero 
también sabía que a todo el mundo le gusta recibir regalos. 

Así pues, esperó al siguiente cambio de ordenadores para introducir las 
primeras restricciones. Encantados con sus flamantes y potentes máquinas, los 
empleados de GSA ya podían aceptar que a partir de entonces no podrían 
descargarse sus juegos y pasatiempos favoritos cuando les viniera en gana. 

Demostrando una vez más su innato don de gentes, Darryl evitó métodos 
más abiertamente draconianos. Facebook se había convertido en un problema. 
No solo había muchos empleados que malgastaban recursos navegando por la 
red social a horas en que debían estar trabajando, sino que además la página 
se había convertido en lo que la industria de la seguridad llama un vector de 
ataque, un instrumento del que los creadores de virus pueden aprovecharse 
para propagar sus productos. 

Darryl imaginó que, si vetaba Facebook, podía armarse un motín, así que, 
en lugar de prohibirlo, permitió acceder a él entre las doce y las dos de la 
tarde, horas en que la mayoría de los empleados hacían una pausa para 
almorzar. Al saber a qué horas utilizaban Facebook, Darryl podría realizar un 
mejor seguimiento de las posibles amenazas y tentativas de hackear el 
sistema y asegurarse así de que la página no ponía en peligro la seguridad de 
la compañía. 

Paso a paso, fue introduciendo un sistema de control central relativamente 
sólido sin ganarse la animadversión de los empleados de Grimley Smith. El 
corazón del nuevo orden era un complejo programa llamado Virtual Network 
Computing o VNC, que no era otra cosa que el Gran Hermano particular de 
Grimley Smith. Si Darryl detectaba una amenaza o algo fuera de lo corriente 
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en la red, podía sacar al VNC de su estado de hibernación virtual para que el 
programa se lanzara a investigar en detalle lo que estaba ocurriendo en 
cualquiera de las varias docenas de ordenadores bajo su mando. 

Una mañana, cuando el personal encendió los ordenadores, Darryl envió 
un mensaje en el que advertía a todo el mundo, del director general para 
abajo, que a partir de ese momento cualquiera podía verse sujeto a 
seguimiento por parte del programa. Con el desconocimiento de la mayoría, el 
nuevo VNC de Darryl los vigilaba desde un segundo plano. Si recibía la alerta 
de que alguien había descargado un virus o de que estaba tratando de instalar 
software desconocido, el VNC se ponía en marcha. 

El VNC es una herramienta de gran potencia. A algunos, su uso puede 
parecerles una práctica empresarial normal y corriente, pero en internet la 
llegada de programas como VNC despierta críticas feroces. En buena parte de 
Europa continental, gobiernos y compañías tienen estrictamente prohibido 
acceder a la información almacenada en los ordenadores de sus empleados 
que no esté relacionada con el trabajo (y ni siquiera a esta es fácil acceder). 
La supervisión del correo electrónico constituye una ilegalidad flagrante. 

La detección del crimen y las libertades civiles siempre han sido extraños 
compañeros de cama, pero su coexistencia se ha problematizado de forma 
significativa con la expansión de internet, y así seguirá siendo en el futuro. En 
Alemania, si un agente de policía le sigue la pista a alguien de forma anónima 
por internet, está obligado a identificarse como miembro de las fuerzas del 
orden si así se lo pide su interlocutor virtual. Esto dificulta mucho la práctica, 
habitual en Gran Bretaña y Estados Unidos, de utilizar a agentes que se hagan 
pasar por menores con el fin de atrapar a pedófilos sospechosos de captar a 
niños por la red. El uso del VNC tiene connotaciones políticas y está 
sometido a leyes sobre protección de datos. Esto significa que Darryl debía 
andarse con sumo cuidado a la hora de manejar su juguete. 

Un día a principios de febrero de 2008, en la pantalla de Darryl apareció 
una alerta de software sospechoso: «Aplicación no autorizada: mensajería». 
Los sistemas de Darryl rastreaban en busca de distintos tipos de aplicaciones 
no autorizadas. La palabra «mensajería» sugería que alguien estaba 
intentando instalar o utilizar algún paquete de comunicaciones como, por 
ejemplo, Skype. A los pocos minutos, Darryl había descubierto que quien 
había disparado la alarma era uno de los ingenieros químicos que 
conformaban la espina dorsal de GSA. Darryl decidió llegarse hasta el puesto 
de trabajo en cuestión y preguntarle directamente al empleado si había puesto 
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en funcionamiento algún programa de mensajería instantánea desde su 
equipo. 

«Entonces me miró con toda tranquilidad y me dijo: “¡No!”. Lo negó de 
forma rotunda. Así que le respondí: “De acuerdo. Aunque me parece raro, 
porque acabo de recibir un aviso que dice que en este ordenador se está 
utilizando una aplicación de mensajería no autorizada”». 

Darryl se encogió de hombros. La respuesta del ingeniero tampoco lo 
sorprendió demasiado, ya que los sistemas de seguridad son instrumentos 
muy sensibles y el empleado estaba utilizando varias herramientas de 
escaneado que los programas de seguridad pueden confundir con incursiones 
de hackers. Sea como fuere, pensó Darryl, aunque el ingeniero hubiera estado 
utilizando los programas que decía, lo más probable era que estuviera 
chateando con sus compañeros en horario laboral. A partir de entonces, al 
menos, sabría que no debía hacerlo y que, si reincidía, Darryl estaría a la 
expectativa. El incidente, por lo tanto, quedó olvidado. 

Dos semanas después, sin embargo, los hechos se repitieron. En esta 
ocasión, Darryl decidió despertar al temible y poderoso VNC. Tras 
introducirse en el ordenador del ingeniero, empezó a buscar el programa de 
mensajería y no tardó en averiguar que se trataba de Miranda Instant 
Messaging. Es mucha la gente que hoy en día utiliza la mensajería instantánea 
para hablar en tiempo real con las amistades mediante el envío de unas pocas 
palabras o frases en pequeñas cajas de texto. Las más de las veces, el 
programa de mensajería de Windows (Messenger) solo sirve para ponerse en 
contacto con usuarios que disponen del mismo programa. La ventaja de 
Miranda reside en el hecho de que permite comunicarse con distintos 
programas de mensajería instantánea. Esto lo hace muy popular entre los 
usuarios más obsesivos. 

Antes de soltar el VNC, Darryl comprobó el disco duro del ingeniero para 
ver si lograba encontrar algo en concreto, pero la búsqueda resultó 
infructuosa. Eran alrededor de las doce y cuarto, hora del almuerzo. El 
momento ideal para averiguar de una vez por todas si realmente el ordenador 
del ingeniero estaba ejecutando el programa de marras. 

Miranda no era nada en comparación con lo que Darryl encontró cuando 
VNC empezó a explorar las tripas del ordenador del empleado. El ingeniero 
había abierto diez documentos de texto al mismo tiempo y se desplazaba a 
través de ellos a una velocidad imposible. Darryl se quedó boquiabierto. 
Nunca había visto a nadie capaz de trabajar con documentos a tal velocidad. 
Si miraba la pantalla del ingeniero, no distinguía más que una borrosa masa 
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de cifras, símbolos y palabras. Poco a poco se dio cuenta de que el ingeniero 
estaba copiando partes del documento que, a continuación, pegaba en un 
archivo separado de Wordpad. 

Todavía no entendía lo que estaba ocurriendo ni de dónde provenían todos 
aquellos documentos, pero aquello no parecía tener relación con el trabajo de 
la empresa. El nombre del archivo en el que estaba pegando el texto resultaba 
desconcertante. Se llamaba «Sierra Leona». El ingeniero, en efecto, estaba 
trabajando en el proyecto de una refinería de petróleo en Sierra Leona. Darryl 
suspiró aliviado; después de todo, quizá la operación era legítima. Solo más 
tarde cayó en la cuenta de por qué el ingeniero había elegido ese nombre: si 
alguien pasaba por delante de su ordenador, podía minimizar el archivo para 
que no se viera más que la barra de herramientas y una pestaña titulada 
«Sierra Leona», el proyecto en que trabajaba. 

Darryl podía haberse llevado a engaño de no ser porque en ese momento 
el VNC localizó una unidad no registrada (F:), lo cual sugería que el 
ingeniero estaba utilizando algún tipo de memoria portátil. Darryl se introdujo 
en la misteriosa unidad gracias al VNC y copió las decenas de miles de 
documentos que encontró en su interior. 

Dudoso aún acerca de cómo proceder, e incapaz por el momento de 
determinar qué estaba ocurriendo, Darryl ordenó a su fiel VNC que se 
adentrase una vez más en las tripas del ordenador bajo sospecha. Lo programó 
para que tomara capturas de pantalla del PC del ingeniero cada treinta 
segundos. Mirando la pantalla en tiempo real no había manera de entender 
nada; resultaba imposible averiguar qué datos eran aquellos. Sin embargo, 
cuando vio las capturas de pantalla —imágenes congeladas de la actividad del 
ingeniero—, empezó a formarse una idea de lo que estaba sucediendo: eran 
cientos y cientos de números de tarjetas de crédito, cuentas corrientes, detalles 
personales, números PIN y direcciones de correo electrónico. Aquello no 
tenía nada que ver con el desarrollo de la incipiente capacidad refinadora de 
Sierra Leona. 

Acto seguido, Darryl imprimió una página particularmente densa del 
Bank of America y se la llevó a Mike Smith, el director general. Minutos 
después, Mike Smith descolgó el teléfono y llamó a la policía de Scunthorpe. 

Cuando el detective Dawson se personó en Grimley Smith, el director 
general le mostró unas listas que contenían una cantidad de datos inverosímil: 
información relativa a bancos, agentes inmobiliarios, compañías de seguros, 
parques de atracciones, cines, organizaciones benéficas, entre otros, incluidos 
datos que a todas luces parecían extraídos de los archivos del ejército de 
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Estados Unidos. Al momento temió que se enfrentaba a algún tipo de fraude, 
pero no conseguía averiguar qué significaba todo ese material ni cómo 
confirmar su temor. La situación era espinosa. 

«Muy bien —dijo Dawson—, llamémoslo al despacho para hablar con 
él». 

Los directores de Grimley Smith intercambiaron una mirada nerviosa. 

«¿Qué ocurre?», preguntó Dawson. 

«Es un tipo corpulento —le respondieron—; podría resistirse». 

«Bien, ya nos ocuparemos de eso cuando llegue el momento», repuso 
Dawson con toda la autoridad de que fue capaz. 

Cuando su alta e imponente figura apareció en el despacho, el ingeniero 
parecía más sorprendido que furioso. Le preguntó al detective quién era y qué 
hacía ahí, dejando notar un atisbo de desprecio. Dawson le explicó por qué 
estaba en GSA y le preguntó sin rodeos para qué quería toda aquella 
documentación. Con inesperada indiferencia, el ingeniero contestó que 
formaba parte de un informe que estaba compilando para uno de los 
directores ahí presentes. Hubo un momento de silencio antes de que el 
director replicase: «¡No, eso no es cierto!». 

«Muy bien —dijo Dawson—, extienda las manos, haga el favor —y 
haciéndole un gesto a su colega, añadió—: ¡Espóselo!». 

Lejos de resistirse, como los directores habían temido, el hombre mantuvo 
la calma en todo momento, aunque parecía algo descolocado. Dos horas 
después de ver el informe de mando y control, Dawson tenía a un sospechoso 
bajo arresto en el calabozo. Ahora había que conseguir pruebas para presentar 
cargos. Si en tres días no conseguía reunir indicios razonables de conspiración 
o fraude, tendría que soltar al detenido y todo quedaría ahí. 

Dawson regresó a Grimley Smith con un agente de la unidad de 
recuperación de alta tecnología y ambos se pusieron a trabajar con Darryl 
Leaning. Tal como Darryl había predicho, los discos portátiles contenían 
cientos de miles de documentos, la mayoría repletos de detalles relativos a 
tarjetas de crédito y cuentas bancarias pirateadas. También había correos 
electrónicos, algunos de ellos relacionados con un grupo de noticias de 
Yahoo! bautizado con el prosaico nombre de bankfraud(V0yahoogroups.com. 
Los mensajes del grupo no eran tanto un tutorial en línea como un auténtico 
máster sobre cómo perpetrar fraudes en la red. 

Lo siguiente que hizo Dawson fue dirigirse al piso de Plimsoll Way, en la 
vecina Hull, donde residía el sospechoso. La dirección correspondía a una de 
las fincas del plan de regeneración de la zona de los muelles que empezaba a 
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mostrar los primeros signos de deterioro. Mugrientas manchas de agua 
ensuciaban la fachada de piedra de color crema, picada por el óxido que 
emergía de debajo del enlucido. Todo un símbolo de la Gran Bretaña del 
nuevo laborismo: reluciente por fuera, pero incapaz de seguir evitando que la 
podredumbre interna aflore a la superficie. 

El domicilio era un piso de soltero en toda regla. No es que fuera una 
cuadra, pero sí había un poco de desorden. «Le falta un toque femenino», 
pensó Dawson. Al entrar en el dormitorio, el detective supo que había dado 
con la pista que buscaba. Sobre la cama había dos ordenadores portátiles, uno 
de ellos encendido. Encima, había una pila de documentos, incluidos 
infinidad de recibos de transferencias enviadas a (o recibidas desde) distintos 
lugares del mundo vía Western Union: Nueva Zelanda, México, Emiratos 
Árabes Unidos, Ucrania... 

Resultaba muy interesante haber dado con todos aquellos archivos y 
documentos pero, como sabemos, lo que Dawson necesitaba eran pruebas de 
un delito en concreto a partir del cual presentar cargos. Al ir a tomar un 
montón de papeles, uno de los folios cayó flotando al suelo. A lo largo de los 
meses siguientes, Dawson pensó a menudo en esa serendipia. En el folio 
figuraban los detalles de un hombre de West Yorkshire y todos los números 
de sus cuentas. Después de estudiarlos, Dawson creyó que esa podía ser la 
prueba definitiva, pues incluía una contraseña. Si podía demostrar que esa 
persona no le había revelado a nadie su contraseña, tal vez podría sacar 
adelante el caso. Ese era el motivo por el cual el detective Dawson estaba tan 
ansioso por hablar con el reverendo Andrew Arun John. Si John lo 
confirmaba, Dawson podría acusar al sospechoso de un delito de fraude 
electrónico y muy probablemente el juez le denegaría la fianza. Dawson 
podría embarcarse entonces en la hercúlea tarea de sumergirse en aquel 
océano de documentos. 
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EL MR. HYDE DE LAGOS 


En 2003 Adewale Taiwo obtuvo su licenciatura en ingeniería química por la 
Universidad de Lagos. Hijo de un profesor universitario y de una funcionaria, 
Adewale, muchacho alto y llamativo, se había convertido en un joven sensato 
y elocuente con un futuro prometedor en la docencia o en el sector privado. 
En comparación con la media nigeriana, la situación de la familia era holgada 
y, además, tenían parientes en Londres que podían ayudarlos en caso de que 
el muchacho decidiera continuar su formación en el Reino Unido. 

Ese mismo año, Adewale creó su alter ego: Fred Brown, de Oldham, 
Lancashire. A pesar de que Adewale todavía no había estado nunca en 
Inglaterra, decidió inventarse ese auténtico Mr. Hyde del cibermundo. Fue 
Fred Brown quien creó el grupo de noticias sobre fraudes bancarios en 
Yahoo! 

Poco después, Fred Brown empezó a colgar anuncios en internet, por 
medio de webs como Hacker Magazine, Alt 2600 o UK Finance: 


OFERTA: Oferta de trabajo para empleados de banca o 
personas con familia o amigos en banca que deseen formar 
sociedad. Entre los bancos se incluyen el HSBC y el Royal 
Bank of Scotland, pero otros también serán tomados en 
consideración. Diríjanse a Fred B. Brown por Yahoo!, ICQ o 
Safemail. 


Los programas de mensajería ICQ (derivado de I seek you, «te busco») y el 
más antiguo IRC (Internet Relay Chat) son algunas de las herramientas 
preferidas por hackers y crackers, como a veces se conoce a los hackers que 
se dedican a actividades criminales. Se trata de servicios de mensajería 
instantánea con los cuales se puede chatear con una o varias personas. Para 
los hackers, lo importante es que son «dinámicos», es decir que las 
conversaciones mantenidas a través de ellos no dejan rastro, a menos que 
alguien salve los diálogos ex profeso. Safemail es un sistema de correo 
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electrónico encriptado cuyo código es imposible de descifrar. A menos, claro, 
que uno logre persuadir a un juzgado israelí para que requise la información 
que busca, puesto que la compañía que lo posee y lo gestiona tiene su sede en 
Tel Aviv. 

Las personas que respondieron a los anuncios de Fred Brown fueron 
invitadas a ingresar en el grupo bankfraud(W yahoogroups.com, los fines y la 
filosofía del cual eran bien claros: «Este es un grupo para la gente que no 
quiere trabajar en la legalidad, sino por dinero, y que está dispuesta a saltarse 
las reglas. En este grupo aprenderéis a defraudar a los bancos y a usurpar 
identidades». El hecho de que Fred se atreviera a promocionar su negocio de 
forma tan explícita da la medida de la presencia que las actividades 
fraudulentas tienen en la red. Pasarían varios años antes de que la ley diera 
con él, y aun así, fue gracias a la comisión de un error grave y atípico. 

Los anuncios de Fred estaban pensados para atacar sus objetivos por el 
medio más tradicional: la vía del topo. Si uno persuade al empleado de un 
banco para que afane y comparta los detalles de sus clientes, se ahorra tener 
que piratear las cuentas o las tarjetas de crédito. Quienes se dedican al fraude 
por internet invierten esfuerzos considerables en localizar empleados de banca 
descontentos o en situación difícil, ya que disponer de un topo de confianza 
trabajando para ellos dispara las ganancias de manera notable. Una vez que se 
ha hecho con los detalles de una cuenta, el delincuente puede acceder 
libremente a ella por internet como si fuera suya, para después transferir el 
dinero a otra cuenta que tenga designada. A menos que el infractor necesite 
una suma significativa de forma urgente, el método de sustracción preferido 
consiste en extraer pequeñas cantidades a lo largo de un periodo prolongado 
de tiempo, de tal modo que ni el banco ni el cliente se percaten de ello. 

Fred Brown, sin embargo, desarrolló un método de fraude más avanzado. 
Sabía cómo penetrar hasta lo más profundo del sistema bancario, donde podía 
realizar Operaciones tales como aumentar los límites de descubierto. 
Aparentemente, sabía cómo modificar nombres y direcciones, y, por supuesto, 
robar contraseñas. 

El hecho de que pusiera los cimientos de su negocio mucho antes de 
trasladarse al Reino Unido, demuestra la sistematicidad con que Fred 
enfocaba el oficio. Era reflexivo, no adoptaba conductas de riesgo ni jugaba a 
videojuegos. Fred Brown (alias Freddy Brown, Fred B. Brown, Freddy B, 
Fred B y Freddybb) veía en internet un medio fácil y sencillo para defraudar 
grandes cantidades de dinero a un sinnúmero de personas. 
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Pero antes de que Fred pudiera actuar a sus anchas por la red, su Dr. 
Jekyll —Adewale Taiwo— debía ocuparse de otros asuntos. El principal, su 
máster de ingeniería química en la Universidad de Mánchester, adonde llegó 
en octubre de 2005. Un mes antes de recibir el título, en mayo de 2006, abrió 
una cuenta en London Gold Exchange (LGE), a la cual podía transferir dinero 
desde cualquier banco. 

LGE se dedica a comprar oro con el dinero que depositan sus clientes y, a 
cambio, les asigna créditos de «moneda digital». La mal llamada London 
Gold Exchange —con la sede en Belice y el oro depositado en Suiza— fue 
una de las varias instituciones que se expandieron durante la década de 1990, 
favorecidas por defraudadores y prestamistas. Después de traspasar sus 
fondos a London Gold Exchange, Taiwo los enviaba a otra institución similar, 
E-Gold, desde donde distribuía dinero contante por todo el mundo vía 
Western Union, ya fuera para blanquearlo, ya para pagar a sus colaboradores. 

Como en todo lo que hacía, demostró ser meticuloso y eficiente: un 
estudiante sobresaliente y un malhechor de matrícula. Grimley Smith lo 
reclutó con muchas esperanzas poco después de que la Universidad de 
Mánchester le concediera el título y al mismo tiempo que la hermandad de los 
estafadores telemáticos daba la bienvenida a un miembro destacado. 

Adewale Taiwo era un ingeniero químico plenamente capacitado. Todavía 
no había cumplido treinta años y ya se lo consideraba uno de los empleados 
más prometedores de Grimley Smith; poco después, ya se desplazaba por 
razones de trabajo a lugares tan distantes como China y Venezuela. Vestía 
bien, pero sin ostentación; su BMW encajaba con su salario y su estilo de 
vida. Afrontaba sus dos vidas con la misma seriedad, en parte porque su 
trabajo legítimo hacía las veces de tapadera de sus actividades clandestinas. 
Uno de los últimos lugares donde alguien buscaría a un delincuente 
cibernético de altos vuelos es en una respetada y exitosa empresa del sector 
energético, y menos entre los ingenieros más diligentes y mejor formados de 
la firma. 

Cuando el detective Dawson empezó a calcular la magnitud del fraude 
cometido por Fred Brown, se quedó estupefacto. En el mejor de los casos, las 
pruebas consistían en unos treinta y cuatro mil archivos, algunos de ellos de 
hasta cien o ciento cincuenta páginas. Al poco tiempo, encontró un archivo de 
cien páginas plagado de números de tarjetas de crédito estadounidenses, así 
como los códigos de seguridad de estas y todas las contraseñas necesarias. 

El detective Dawson era agente de homicidios; nadie en todo el condado 
de Humberside se había ocupado nunca de fraudes por internet a gran escala, 
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y ni él ni el otro colega que lo ayudaba podían dejar de lado su trabajo 
cotidiano. No sabía ni por dónde empezar. Aparte de los archivos, habían 
encontrado el software de un MSR206, probablemente el arma más 
importante en el arsenal de cualquier defraudador de tarjetas de crédito, los 
llamados «tarjeteros». Con él, el tarjetero puede «clonar» cualquier tarjeta de 
crédito, es decir, copiar toda la información de la banda magnética de la parte 
posterior y transferirla a una tarjeta en blanco con la banda magnética vacía. 
El MSR206 viene a ser una fábrica de moneda de uso personal. 

Entre los archivos, Dawson también encontró registradores de teclas 
troyanos, que son al cracker lo que la palanqueta al ladrón de cajas fuertes. 
Los antiguos virus eran criaturas que nada tenían que ver con los registradores 
de teclas. Los primeros virus que empezaron a circular a gran escala en la 
década de 1990 eran obra de adolescentes y estudiantes —los llamados script 
kiddies— con ganas de demostrar su pericia como programadores anárquicos. 
Por desgracia, para demostrarlo no se les ocurrió otra cosa que causar 
molestias al mayor número posible de usuarios en todo el mundo. 

Cuando un ordenador se infectaba, podían ocurrir varias cosas: que se 
ralentizase; que al abrir una aplicación, por ejemplo Microsoft Word, se 
abriera un navegador; que el equipo se apagase de forma automática, o, en el 
peor de los supuestos, que se destruyeran todos los datos y archivos. Circulan 
historias sobre escritores que perdieron manuscritos enteros por culpa de 
algún virus malicioso, o sobre estadísticos que vieron cómo los datos 
introducidos a lo largo de varios meses eran devorados ante sus propios ojos 
por un infame gusano digitalÚ!]. 

Tras el cambio de milenio, hackers, crackers y criminales empezaron a 
intuir que los virus, los troyanos y los gusanos podían tener usos más 
lucrativos. Ingeniaron el registrador de teclas, que se difundió por internet a 
una velocidad de vértigo. Una vez instalado en un equipo, la función de este 
dispositivo consiste en identificar todas y cada una de las pulsaciones del 
teclado. Así, cuando tecleamos «www.hsbc.co.uk» en el navegador, el 
programa envía esa información a su dueño o creador, que puede hallarse en 
cualquier parte del mundo. Si a continuación introducimos nuestra contraseña 
—por ejemplo «Robinhood»—, el amo del virus —en Nueva Jersey, Rostock, 
Lilongwe o en la Ruritania profunda— se hará con ella al instante. ¡Bingo! 
¡Mi casa es su casa! O mejor: ¡Mi cuenta bancaria es su cuenta bancaria! 

Así como almacenar miles de detalles de tarjetas de crédito y números de 
cuentas corrientes en el ordenador no es delito, tampoco lo es poseer 
registradores de teclas. Puede constituir un sólido indicio de actividad 
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criminal, pero por sí solo no es concluyente. Dawson y su colega, pues, 
tendrían que examinar una infinidad de archivos si aspiraban a desenmarañar 
aquel sinfín de hilos enredados. 

Tras introducir manualmente varios miles de datos bancarios en una hoja 
de Excel, el agente decidió ponerse en contacto con los bancos. Suponía que 
serían los primeros interesados en el caso, ya que a fin de cuentas eran los 
sistemas de seguridad de esas entidades los que Fred Brown había burlado 
con tanto éxito. 

Se equivocaba. 

Muchas de las averiguaciones de Dawson chocaron contra un muro 
porque los bancos ni siquiera se molestaron en responder a sus solicitudes. La 
investigación estaba convirtiéndose en una carrera contrarreloj y el detective 
había perdido un tiempo precioso buscando en balde la colaboración de los 
bancos. 

La actitud de la mayoría de los bancos hacia la delincuencia informática 
resulta ambigua. Durante la redacción de este libro, uno de los empleados de 
mi banco, Natwest, me llamó para preguntarme si recientemente había 
realizado compras en joyerías de Sofía, la capital de Bulgaria. También me 
preguntó si había abonado cuatro mil francos relativos a una factura de Swiss 
Telecom. Le dije que no. Entonces me dijo que mi Visa de Natwest se hallaba 
en situación de riesgo y que necesitaría otra nueva, aunque me garantizaba 
que la entidad había cancelado el pago de las tres mil libras gastadas de forma 
fraudulenta con mi tarjeta. Como a cualquiera en una situación semejante, me 
alivió saber que el banco no me hacía responsable de lo ocurrido. 

¿Quién pone, pues, ese dinero? ¿Los bancos? No, los bancos están 
asegurados contra tales pérdidas. ¿La compañía aseguradora? Tampoco, 
porque fijan las primas a un nivel que les garantiza que no saldrán perdiendo. 
Entonces, por lo tanto, ¿no serán los bancos, puesto que son quienes abonan 
dichas primas? Pues sí, solo que los bancos recuperan el dinero mediante la 
introducción de comisiones adicionales que afectan a todos los consumidores. 
Dicho de otra manera: el fraude bancario lo paga el conjunto de los clientes 
del banco. 

Es lógico que los bancos no quieran airear mucho este asunto. Tampoco 
les gusta que la gente sepa con qué frecuencia los ciberdelincuentes vulneran 
sus sistemas. Los periodistas jamás consiguen arrancarles la más mínima 
información acerca de los ciberataques que les llueven a diario. Resulta 
comprensible. Más difícil es disculpar sus frecuentes reticencias a colaborar 
con la policía en los casos en que la información llega a los tribunales. Al 
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negarse a admitir que sus clientes han sido víctimas de un delito informático 
por miedo a la competencia, los bancos favorecen de forma indirecta los 
intereses de los criminales. 

Salta a la vista que los bancos tienen un problema: sus clientes son la 
parte más vulnerable de un sistema financiero interconectado. Hoy en día, 
incluso los hackers más avezados tendrían problemas para infiltrarse en los 
sistemas informáticos de los bancos comerciales y de inversión. Sin embargo, 
introducirse en los ordenadores de la mayoría de sus clientes, espiar mientras 
acceden a sus cuentas y jugar con su dinero es pan comido para cualquier 
pirata que se precie. ¿Cómo corregir los hábitos de los clientes en la red, 
cuando el gran gancho de la banca en línea (y de tantas de nuestras 
actividades en la red) es la comodidad? En la mayoría de los casos, las 
elaboradas medidas de seguridad que serían necesarias para acceder a esas 
cuentas crearían rechazo, por tediosas. 

Los bancos prefieren callar acerca de la incidencia de los fraudes, en parte 
por motivos de competencia y en parte porque no desean que los clientes 
exijan volver a las prácticas de antaño. La banca electrónica supone un gran 
ahorro, ya que el cliente se encarga de muchas de las tareas que antes 
realizaban las sucursales y sus empleados. Si de pronto todo el mundo se 
negara a gestionar sus finanzas por internet, los bancos se verían obligados a 
reimplantar la extensa red de sucursales a través de las cuales prestaban sus 
servicios. Eso supondría un desembolso más que considerable y, como todos 
sabemos, los bancos se han gastado todo lo que tenían, además de cientos de 
miles de millones de los contribuyentes, en descabelladas operaciones 
especulativas y primas hinchadas hasta niveles obscenos. 

Por todo ello, el detective Dawson tuvo que unir las piezas del 
rompecabezas con una ayuda muy limitada por parte de la hermandad 
bancaria. A su favor, no obstante, jugaba el hecho de que Fred Brown había 
cometido un par de errores significativos a la hora de urdir su red fraudulenta: 
a pesar de que bankfraud(Wyahoogroups.com estaba registrado en el Yahoo! 
de Estados Unidos, la dirección de correo asociada al grupo tenía la extensión 
yahoo.co.uk. Al tratarse de un dominio británico, Dawson pudo requerir el 
material a Yahoo! de manera inmediata. Menos suerte tuvo con la cuenta de 
Safemail. Para esta tuvo que pedir a un juzgado británico que solicitase a uno 
de Israel que Safemail le permitiera acceder a la cuenta encriptada de Fred 
Brown. El proceso se prolongó varios meses, y durante todo ese tiempo tuvo 
que soportar presiones por parte de los tribunales para que facilitase las 
pruebas a los abogados de la defensa y agilizara los trámites. 
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Los superiores de Dawson estaban descontentos; la presión era cada vez 
mayor. Los titulares de las tarjetas de crédito se hallaban repartidos por todo 
el mundo y ninguna de las víctimas investigadas residía en Humberside. Uno 
de los afectados, el reverendo John, vivía en el vecino condado de West 
Yorkshire, pero era el único. A Dawson le dijeron más de una vez que el 
cuerpo no podía permitirse destinar a uno de los mejores agentes de 
homicidios a un caso de fraude totalmente ajeno a su jurisdicción. Pero algo 
le decía al detective que valía la pena seguir adelante. Como no estaba 
dispuesto a arrojar la toalla, y para contentar a sus superiores, empezó a 
trabajar en el caso en sus horas libres, en ocasiones hasta muy tarde por la 
noche, intentando encontrarle sentido a aquel baile de cifras. 

Desesperado por cómo la investigación sobre Adewale Taiwo estaba 
empezando a hacer mella en su vida, Dawson solicitó la colaboración de la 
unidad de inteligencia de la región. Le dijeron que no podían ayudarlo, pero le 
sugirieron que preguntara a la Unidad de Alta Tecnología de la Ciudad de 
Londres si disponían de información que pudiera serle útil. La respuesta fue 
negativa, pero lo remitieron a la Agencia contra el Crimen Organizado. 

Finalmente, Dawson se puso en contacto con la SOCA en el cuartel de 
operaciones secreto del organismo en Londres, que parece sacado de una 
novela de Len Deighton: placas de bronce con el nombre de una compañía 
ficticia y una plantilla que finge no trabajar para la agencia, a la que Tony 
Blair describió como la réplica británica al FBI (para irritación de sus 
agentes). 

Dawson dijo que necesitaba asistencia en un complejo caso de fraude en 
el que estaba involucrado un tipo misterioso que respondía al nombre de Fred 
Brown. La contestación telefónica de los peces gordos de la metrópoli fue 
seca y directa: «¿Qué sabe usted acerca de Freddie Brown?». A fin de cuentas 
—podía colegirse por el tono—, él no era más que un tarugo de Humberside. 

«Nada —respondió el detective Dawson—, lo único que sé es que lo 
tengo en prisión preventiva en Scunthorpe». 

Se hizo un silencio al otro lado de la línea. 

«¿Alguna vez ha oído hablar de una cosa llamada Dark Market, detective 
Dawson?», preguntó la voz. 

«No, nunca. ¿Por qué?». 

Dawson había cobrado una pieza mayor de lo que creía. 

La noticia cogió por sorpresa incluso a la SOCA. Llevaban años con las 
miras puestas en Freddybb, pero la investigación sobre Dark Market había 
quedado en punto muerto tras una serie de detenciones el verano anterior. Lo 
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último que habrían imaginado era que un policía de Scunthorpe volviera a 
ponerla en marcha. Pero, si algo había aprendido la mayor unidad de crímenes 
telemáticos de Gran Bretaña desde que en 2001 un grupo de ciberdelincuentes 
ucranianos abriera la primera web dedicada al crimen global, era esto: 
espérate lo inesperado. 
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LOS ARCHIVOS DE ODESA 


Odesa, Ucrania, junio de 2002 


Llegaban de puntos tan septentrionales como San Petersburgo y Letonia, en el 
mar Báltico; uno de los delegados venía de Bielorrusia, país creado en 1990 a 
modo de memorial viviente del comunismo. Los rusos eran mayoría, y, dentro 
de la propia Ucrania, habían llegado tropas de delegados de Ternopil, en el 
oeste; Kiev, en el centro; Járkov, en el norte, y Donetsk, en el este. 

Pero el Primer Congreso Mundial de Tarjeteros (PCMT) era internacional 
de verdad. Algunos de los asistentes provenían de Europa occidental, 
mientras que otros habían aterrizado procedentes del golfo Pérsico, Canadá y 
Sudamérica. La nota de prensa del PCMT lamentaba que los delegados de 
Australia y el Sudeste Asiático no hubieran podido asistir por contratiempos 
en el viaje. 

La organización había escogido a tres docenas de delegados de entre las 
cuatrocientas solicitudes recibidas. Quienes tuvieron la suerte de recibir el 
visto bueno sabían que el simple hecho de haber sido invitados daría alas a su 
reputación dentro del mundo férreamente jerarquizado de la delincuencia 
informática. 

Para despistar a la policía, en un principio los organizadores habían 
anunciado que el evento se celebraría a bordo de una serie de yates de lujo 
amarrados frente a las costas turcas del mar Negro, pero solo era una finta. 
Después de todo, ¿dónde podía celebrarse el primer congreso de 
ciberdelincuentes sino en Odesa, la legendaria ciudad del hampa ucraniana? 

El zar, Stalin y Hitler habían intentado domeñar aquella bestia con 
métodos de probada eficacia, pero ninguno de ellos había logrado aplastar a la 
hermandad criminal más resistente de Europa del Este. «La historia de Odesa 
es inconcebible —escribió un cronista acerca de su ciudad natal— si no se 
comprende la vida de sus gánsteres». 

Para la mayor parte de Europa del Este, el desenfrenado capitalismo 
mafioso que siguió al desplome del comunismo en la década de 1990 fue un 
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fenómeno del todo inesperado, pero Odesa sabía lo que se avecinaba. La 
ciudad no tenía más opción que abrazar la nueva era, y hay que admitir que lo 
hizo con entusiasmo. De un día para otro, las estrellas rojas se convirtieron en 
luces rojas. Detrás de la avenida Primorskaya brotaron como setas sórdidas 
Salas de juego, y poco después de 1989 los restaurantes y las saunas se 
convirtieron en escenarios de voracidad y derramamiento de sangre. 

En los barrios de grandes bloques del extrarradio, la droga se convirtió en 
moneda de cambio habitual. Jóvenes sin recursos se engancharon a la 
boltushka, una mezcla casera de anfetaminas, que se pinchaban hasta 
provocarse cicatrices, lesiones cerebrales o incluso la muerte. 

Pistoleros y clanes procedentes de Chechenia y Moscú rivalizaban con los 
jefes locales por hacerse con el control de la ciudad. Odesa, en teoría, 
formaba parte del nuevo Estado independiente de Ucrania, pero la ciudad era 
rusófona y, lo que es más importante, el único puerto de aguas cálidas capaz 
de servir de plataforma a las exportaciones rusas de gas y petróleo. 

La hiperinflación y el nacionalismo hundían el rublo, el karbóvanets, la 
grivna o cualquiera que fuera la moneda que el gobierno proclamaba como 
divisa «auténtica». Lo único que proporcionaba estabilidad real era el dólar 
estadounidense. 

Para los ciudadanos de a pie, en la década de 1990 Odesa significaba dos 
cosas: supervivencia y dólares. Cómo se consiguiera lo primero o se 
rentabilizara lo segundo no importaba. Es más, quienes lograban ambas cosas 
eran admirados, aunque ni siquiera amasar fortunas de un día para otro era 
garantía de una larga vida. 

Ante ese estado de cosas, ¿quién podía culpar a Dimitri Golubov, de 
treinta años, por vender documentación de vehículos y permisos de conducir 
con la firma falsificada del director de la Oficina Municipal del Transporte? 
Si había hombres de negocios dispuestos a pagar por ellos, era señal de que 
sin duda su trabajo tenía valor real. 

Tales eran las circunstancias en Odesa. Pero el joven Dimitri habitaba un 
mundo distinto del de las bandas tradicionales de la ciudad, centradas en la 
extorsión, los burdeles, el petróleo y el caviar. En vez de empuñar navajas, él 
prefería sumergirse en los sótanos llenos de humo donde los adolescentes 
convertían sus cerebros en papilla de tanto jugar al Street Fighter, al Pacman 
y al Tetris, el gran clásico ruso. En aquella cultura subterránea no se admitía 
más luz que la que emanaban los neones de suaves colores y los parpadeantes 
monitores de los ordenadores. Los cigarrillos y la Coca-Cola eran 
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omnipresentes, como si fueran el único alimento tolerado por un ancestral 
código de honor geek. 

Dimitri disfrutaba con los videojuegos tanto como el que más, pero por 
encima de todo lo que le gustaba era explorar el mundo desde las confortables 
Cafeterías de internet de Odesa. El problema era que el joven Golubov no se 
conformaba con navegar por las webs de lugares distantes; lo que quería era 
introducirse en ellas y explorarlas por dentro. 

En 1999 —Golubov tenía dieciséis años—, Visa y Mastercard bloquearon 
el uso de sus tarjetas en los sitios web registrados en la antigua Unión 
Soviética. Las facturas que las empresas de internet rusas remitían a los dos 
gigantes crediticios eran sistemáticamente ignoradas. Sin embargo, Golubov y 
otros pioneros como él pronto cayeron en la cuenta de que, si extraían y 
replicaban por algún medio la información contenida en una tarjeta, podían 
retirar dinero en cajeros automáticos o adquirir por internet productos que 
después eran enviados a terceros países. Una opción consistía en copiar la 
información a partir de la propia tarjeta de crédito, aunque ello suponía la 
laboriosa y, por eso mismo, insatisfactoria tarea del hurto convencional. La 
otra opción, con mucho la mejor, era extraer la información a partir de las 
bases de datos de los bancos, una mina de oro en potencia. 

Aunque algunos sitios web estadounidenses no admitían pedidos de la 
antigua Unión Soviética, sí realizaban envíos a lugares como Emiratos Árabes 
Unidos o Chipre, dos países que en poco tiempo se convirtieron en destino 
preferente de la nueva élite monetaria rusa. Así empezó una de las primeras 
operaciones delictivas verdaderamente globales. Un ruso robaba dinero desde 
Ucrania a una empresa estadounidense y lo recibía en Dubái... ¡en apenas 
diez minutos! 

El otro gran hallazgo que marcó la pauta del «tarjeteo» como negocio 
fueron las clonadoras de bandas magnéticas. Las clonadoras son aparatos que 
leen y almacenan las bandas magnéticas de las tarjetas de crédito. Adoptan 
todas las formas y tamaños. Algunas son pequeños rectángulos que pueden 
acoplarse a un cajero automático, de tal modo que, cuando la máquina del 
banco lee la tarjeta de un cliente, esta es leída también por la clonadora. Otras 
son idénticas a los datáfonos que vemos en los establecimientos comerciales, 
esos con los que nos cobran los camareros o los empleados de las gasolineras. 
Tanto en un caso como en el otro, es posible que haya también una pequeña 
cámara escondida en alguna parte para grabar el número secreto del cliente 
(importante: tapen siempre el teclado cuando introduzcan su número PIN). 
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A estas máquinas solo se las llama «clonadoras» (skimmers) cuando se las 
utiliza para fines maliciosos; en el resto de los casos, su función es la misma 
que las de uso comercial. Los delincuentes pueden adquirir las clonadoras por 
canales comerciales ordinarios o fabricarlas ellos mismos. En su momento, 
las clonadoras fueron el equivalente a la máquina de vapor de James Watt al 
inicio de la revolución industrial. A lo largo de la década siguiente, la 
inmensa mayoría de las tarjetas de crédito y de los números PIN (lo que se 
conoce como dumps, «basuras», y wholes, «enteros») usados de forma 
fraudulenta habían sido clonados en cajeros automáticos y comercios de 
distintos lugares del mundo. 

Como buen hacker, Dimitri enseguida vio que los sistemas de seguridad 
desarrollados por el incipiente sector del comercio electrónico en Estados 
Unidos eran primitivos y fácilmente sorteables. Nada sabemos de sus éxitos 
iniciales. A Dima le gustaba decir que se había hecho millonario antes de 
cumplir los diecisiete, pero no hay que olvidar que las mentiras están a la 
orden del día en internet, y, de hecho, algunos de sus colegas cuentan una 
versión diferente. 

«Era avaricioso, embustero y un delincuente empedernido —escribió en 
su blog otro hacker de Odesa—. Su imagen de millonario de éxito no tenía 
nada que ver con la realidad». 

En ese momento, Dimitri desapareció, y, con él, algunos de sus 
extravagantes modelos de estafa. Meses más tarde, salió de su letargo bajo el 
pseudónimo de Script y se convirtió en un nombre habitual en dos webs de 
nueva creación: Carder.org y Carder.ru. Estas no eran otra cosa que dos foros 
de debate donde los hackers rusos rumiaban cómo amasar millones de 
dólares, libras, yenes y euros con las tarjetas de crédito. Uno de los miembros 
fundadores de estas webs recuerda esas discusiones como «apáticas, 
discontinuas» y, en última instancia, «infructuosas». 

Pero Script siguió dándole vueltas al asunto. Si existían webs para 
adquirir todo tipo de productos, ¿por qué no desarrollar una para el 
embrionario comercio de tarjetas de crédito robadas, cuentas corrientes y 
demás datos de interés? Sus razones para crear una página de ese tipo en la 
red eran de peso: Script había llegado a acumular cantidades de información 
tan ingentes que no disponía de tiempo ni de medios para explotarla. Lo 
mejor era canjear esos datos por dinero. Quería vender. 

El momento era ideal. En los cinco años anteriores, internet había 
experimentado un desaforado aumento de la actividad comercial, posibilidad 
que nadie había previsto, puesto que la red había sido concebida como una 
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herramienta para mejorar y acelerar la comunicación, un medio para 
intercambiar ideas y rumores. 

Amazon, eBay, Lastminute.com y otros precursores del comercio 
electrónico surgieron de forma casual, pero su éxito no pasó desapercibido. 
Miles y miles de personas se pusieron a diseñar sus propias webs. Fue uno de 
esos momentos, que se dan una vez por generación, en que convergen codicia 
y fantasía; poco después, bancos e inversores de riesgo se persuadieron de que 
el comercio electrónico era sinónimo de fortuna instantánea y empezaron a 
inyectar dinero en esas compañías, la mayoría entidades sin valor intrínseco 
pese a estar capitalizadas en millones, cuando no decenas de millones, de 
dólares. Acababa de empezar la primera gran burbuja de la era globalizada, y 
surgía en el campo más apropiado: el de los activos tecnológicos. 

A pesar de que la mayoría de las empresas puntocom en realidad no eran 
más que pueblos Potemkin, muchas firmas consolidadas del mundo real 
decidieron que transferir parte de su negocio a la red podía comportar claras 
ventajas. 

Los primeros en dar un paso al frente en este sentido fueron los bancos, ya 
que, como hemos visto, pensaron que, si lograban convencer a sus clientes de 
que realizasen los pagos y gestionasen sus cuentas en línea, podrían ahorrarse 
unos cuantos empleados. Los clientes más familiarizados con la red estaban 
Casi seguros de que lo mejor era controlar en primera persona sus finanzas, 
cosa que internet les permitía. 

Para entonces, los amos del universo, la nueva clase de los capitalistas 
financieros, estaban desprendiéndose de los grilletes que en el pasado habían 
restringido sus actividades especulativas en el mercado de derivados. 
Básicamente, los políticos de Washington y Londres les concedieron licencia 
para especular (el boom de las puntocom es un buen ejemplo). Al ver que 
acciones de poco valor aumentaban de precio hasta niveles desorbitados, los 
inversores depositaban su dinero en dichas acciones atraídos por su valor 
teórico. Durante una década, Occidente disfrutó de créditos bajísimos. La 
Edad del Imperio y el Capital se metamorfoseó en la Edad del Plástico. 

A mediados de los noventa, la deuda por tarjetas de crédito personales 
empezó a aumentar a un ritmo implacable en los cuatro países más 
dependientes del dinero de plástico: Estados Unidos, Reino Unido, Japón y 
Canadá. En el lapso de diez años a partir de 1997, el número de tarjetas de 
crédito en circulación en todo el mundo ascendió de apenas mil quinientos 
millones a tres mil millones, y la deuda media individual entre sus usuarios 
más dependientes, los estadounidenses, se dobló de cinco a diez mil dólares. 
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Los bancos estaban encantados con nuestra nueva afición a las tarjetas de 
crédito porque, aunque por entonces las tasas de interés eran prácticamente 
del cero por ciento, ellos seguían cobrándole a todo el mundo entre un cinco y 
un treinta por ciento. En Gran Bretaña, el director de Barclaycard confesó 
ante una comisión parlamentaria que él no usaba tarjetas de crédito «porque 
sale demasiado caro». 

Otras zonas del planeta se mostraban menos inclinadas a sucumbir al 
plástico. Europa occidental se había salvado en el pasado de la piratería 
económica que triunfaba en Estados Unidos y Gran Bretaña. Por 
consiguiente, el porcentaje de tarjetas de crédito era mucho menor, al igual 
que el nivel de deuda personal. En Europa del Este no existía ni una 
distribución de capital suficiente entre la población ni una industria bancaria 
segura Capaz de administrar las tarjetas de crédito. El dinero de plástico era 
una rareza en el antiguo mundo comunista, un juguete para los nuevos rusos, 
el minúsculo porcentaje de población que había acaparado formidables 
fortunas a base de explotar a sus propios países y compatriotas durante la 
transición del comunismo al capitalismo. 

Sin embargo, en la economía de casino anglosajona del último decenio del 
siglo xx y el primero del siglo xx1, el plástico era lo más parecido a una 
máquina de billetes inventada por las instituciones financieras, y los bancos 
no tardaron en explotar ese rico filón de capital. Los domicilios de todo 
Occidente recibían a diario toneladas de folletos en los que se exhortaba a la 
gente a contratar tarjetas de crédito o a canjear una deuda existente por una 
nueva cuenta que no rindiera intereses hasta el sexto mes. Durante tres o 
cuatro años, el número de diligentes consumidores que transferían sus 
boyantes saldos de una tarjeta a otra con crédito a interés cero no dejó de 
aumentar; los bancos, entretanto, vivían cada día más obsesionados con ganar 
nuevos clientes. 

Millones de tarjetas. Dinero a espuertas para jugar. A la vista de tantos 
fajos de billetes electrónicos pululando por la red, acaso no deba 
sorprendernos que los aficionados a la informática de los países del Este —a 
quienes les faltaba dinero pero les sobraba ingenio— empezaran a centrar en 
ellos su atención. Uno de ellos era Script: Dimitri Golubov, dieciocho años, 
de Odesa. 

He aquí cómo nació Carder Planet. 
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5 


CARDER PLANET 


Aparece, de forma gradual, una frase escrita con la tipografía de La guerra de 
las galaxias: 


¿Buscas una solución profesional? 


La imagen hace zoom sobre un globo terráqueo que gira a gran velocidad y 
que, de pronto, se convierte en un psicodélico dibujo metálico. De fondo, 
suena un agresivo ritmo electrodance. A continuación, aparecen una serie de 
mensajes: 


Descubre el poder de la tecnología 
¿Harto de la rutina cotidiana? 
¿Quieres cambiar tu estilo de vida? 
¡Únete a nosotros! 

¡Los dumps (tarjetas de crédito) 
pueden hacerte rico! 


La pantalla funde a negro. Acto seguido aparecen tres mensajes más, 
reforzados por un bombo de ecos militares: 


Un equipo de confianza 

¡Bum! 

Todo lo que necesitas para hacer negocio 
¡Bum! 

Carder Planet es inevitable 

¡Bum! 


Un año después de la fundación de Carder Planet, en 2001, Script invitó a sus 
amigos hackers al Primer Congreso Mundial de Tarjeteros en Odesa —-la 
primera convención de ciberdelincuentes de la historia— para celebrar la 
creación de su web pionera. Los miembros del grupo podían presumir de 
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poseer las mismas habilidades tecnológicas que los de la República Hacker, la 
agrupación secreta de la que formaba parte la heroína Lisbeth Salander, con el 
alias de Wasp, en Los hombres que no amaban a las mujeres, el superventas 
de Stieg Larsson. 

Solo que Script y sus amigos no eran de ficción. Carder Planet existió de 
verdad. 
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6 


ASUNTOS DE FAMILIA 


El Primer Congreso Mundial de Tarjeteros conmemoró el primer aniversario 
de Carder Planet. Fue una ocasión única y excepcional. En 2002, Odesa se 
había calmado: se atisbaba incluso algún signo de normalidad. Su avenida 
más emblemática, Deribasovskaya, estaba repleta de vendedores ambulantes, 
tiendas y restaurantes de moda. Al amparo del trébol de cuatro hojas y las 
inscripciones gaélicas del Mick O*Neill*s, uno de los primeros falsos pubs 
irlandeses de la Ucrania poscomunista, un pequeño núcleo integrado por los 
mejores hackers de Ucrania, conocido como la Familia, discutía los objetivos 
del congreso. Entre ellos figuraban grandes nombres como Auditor, Rayden y 
Bigbuyer, así como algunos de los promotores del evento: Boa, un as de las 
comunicaciones y la seguridad, con su característica barba blanca, y Script, 
un tipo enérgico aunque algo infantil. 

A lo largo de los tres días siguientes, bebieron y cantaron en distintos 
lugares de la ciudad, pero sobre todo discutieron el desarrollo a corto y largo 
plazo de su joven web, Carder Planet, que ya empezaba a alterar la esencia de 
la delincuencia cibernética en todo el mundo. 

Los debates generales tuvieron lugar en el hotel Odesa, a la sazón el más 
caro de la ciudad. El edificio era un bloque alto, perfecto ejemplo de la 
espantosa moda poscomunista, erigido justo en frente de la escalinata 
Potemkin, famosa por su aparición en El acorazado Potemkin de Eisenstein, 
la obra maestra del antiguo cine soviético. Uno de los temas que interesaban a 
todos los delegados presentes en el Odesa era la necesidad de comprender los 
detalles técnicos de tarjetas de crédito de categoría inferior, como JCB y 
Diners, que parecían marginadas en favor de las franquicias de Visa y 
Mastercard, más lucrativas. También se acordó crear o consolidar nuevas 
redes de colaboradores que pudieran «canjear» tarjetas de crédito robadas en 
regiones como Sudamérica, Oceanía y África. Al fin y al cabo, alguien tenía 
que ejecutar la parte auténticamente delictiva: retirar metálico de los cajeros. 
Todos convinieron en que había que externalizar ese eslabón de la cadena, el 
más arriesgado. 
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Las reuniones más secretas tenían lugar entre los quince «tarjeteros» más 
importantes y se celebraban en un pequeño y sórdido restaurante cerca del 
mar. El objetivo era animar a los delegados a abrir su propia red de 
franquicias regionales de Carder Planet; así sus propietarios podrían seguir 
ganando dinero trabajando menos. 

Al principio de la reunión, uno de los delegados menos conocidos le hizo 
señas disimuladamente a Boa. El tipo en cuestión había realizado un barrido 
electrónico del restaurante y había detectado la presencia de videocámaras 
ocultas y aparatos de grabación digital en el interior de la sala. Era muy 
probable que el SBU, la policía secreta ucraniana, los estuviese vigilando. Y 
si el SBU estaba al corriente del evento, señal de que también lo estaba el 
KGB ruso, que por entonces gozaba de plena libertad para ejercer con el SBU 
una suerte de droit de seigneur policial: el derecho a inspeccionar la 
información en bruto, antes de que su recolector pudiera siquiera examinarla. 

A la Familia, el politburó o cúpula de Carder Planet, no le preocupaban 
demasiado las agencias de inteligencia norteamericanas y europeas ni las 
operaciones policiales. Pero el KGB era distinto, y no era ninguna 
coincidencia que la resolución más importante del congreso fuera un aviso 
contra la ejecución de actividades hostiles en Rusia y Ucrania. «Reiteramos 
que consideramos inadmisible toda acción dirigida contra nuestros sistemas 
de facturación, bancos o instituciones financieras», se sentenciaba en ella. Si 
algún ciberdelincuente rusófono ponía en su punto de mira bancos o negocios 
rusos, el proyecto entero se iría al traste en menos de cinco minutos. 

Pero Carder Planet aguantó bastante más. La web se mantuvo en línea 
durante cuatro años. Y no resulta exagerado afirmar que sus creadores fueron 
los responsables del surgimiento y de la consolidación de un método 
radicalmente nuevo para consumar actos delictivos de grandes dimensiones: 
fraudes a gran escala reduciendo al mínimo tanto los recursos como los 
riesgos. 

Carder Planet (como sus muchas sucesoras) era ante todo un bazar para 
vender datos robados —números y códigos PIN de tarjetas de crédito, cuentas 
corrientes con sus correspondientes contraseñas— y otros productos, como 
virus y documentación falsa. Hasta entonces, el intercambio de ese tipo de 
información se producía mediante laboriosas transacciones por ICQ e IRC 
(los dos sistemas de mensajería preferidos por los hackers). 

Quienes se dedicaban a la delincuencia informática —tarjeteros, 
spammers, clonadores de tarjetas y creadores de virus— parecían ya una raza 
aparte de los criminales vinculados a las estructuras mafiosas tradicionales. 
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Script los llama «lobos solitarios» en una entrevista aparecida en Hacker 
(Xaker.ru), la gran cronista del submundo cibernético ruso: «No se organizan 
en grupos ni forman sus propias redes; cada cual trabaja por su cuenta y para 
sí mismo». 

Los rusos no fueron los únicos hackers que desarrollaron las técnicas de la 
delincuencia informática, pero Carder Planet les brindó una estructura —Cosa 
hasta entonces insólita— capaz de aglutinar a todos esos lobos solitarios en 
jaurías provisionales para perpetrar delitos (o simples gamberradas) y, acto 
seguido, volatilizarse en medio de un inhóspito desierto de bits, camuflados 
por el bullicio de la red y a salvo de cualquier intento de identificación. 

Muy pronto, los miembros de Carder Planet se convirtieron en sus 
defensores incondicionales: «Hay que entender —dijo uno de los antiguos 
consejeros pertenecientes al núcleo duro de la página— que Carder Planet no 
era solo una fuente de información. Vivíamos en ella; la llamábamos el 
Planeta, como si fuera nuestra casa». 

El robo, el spam y demás fechorías electrónicas representaban una parte 
importante de su actividad, pero no eran ni mucho menos el único motivo por 
el que los hackers rusos desembarcaban en el Planeta y establecían ahí su 
morada. El usuario tipo era un individuo fascinado por la electrónica, la 
informática, los juegos y las redes, aficionado a infiltrarse en equipos ajenos 
por pura diversión. 

No eran vulgares malhechores que hubieran visto en Carder Planet un 
nuevo modo de hacer negocio, sino una comunidad de jóvenes, muchos de 
ellos en torno a los veinte años, decididos a abrirse camino en un contexto 
histórico caótico y azaroso gracias a sus peculiares conocimientos. En Odesa, 
quien más quien menos se dedicaba a alguna actividad ilícita, pero la mayoría 
de la gente se limitaba a actuar en su entorno más directo. Los planetarios, sin 
embargo, se armaron con la mentalidad de supervivientes típica de la Odesa 
de aquellos años de agitación política y económica, y replicaron esos patrones 
de conducta en el ciberespacio. No eran asesinos natos, sino supervivientes 
natos. 

La nueva página se dividía en varias categorías, cada una dedicada a un 
aspecto concreto de la delincuencia telemática. La primera vez que uno de los 
jóvenes hackers de Odesa se conectó a Carder Planet, se sintió abrumado: 
«Juro que tuve la misma sensación que debió de sentir Alí Babá al abrir la 
cueva y encontrarla llena de tesoros. En todas las secciones había montones 
de información que uno podía usar para hacerse asquerosamente rico ¡sin 
levantarse de delante del ordenador!». 
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Durante el primer año, cientos y cientos de hackers rusófonos se 
dedicaron a explorar el sitio, seducidos por sus atractivos gráficos y su eficaz 
organización. El logotipo de Carder Planet mostraba un hombre 
elegantemente vestido al que le centellea un ojo mientras fuma un cigarro; 
parece un doble de Flash Harry, el pícaro al que interpreta George Cole en 
The Belles of St. Trinian*s, una de las comedias clásicas de la Gran Bretaña de 
posguerra. 

«Para los muchachos de provincias inocentes como yo, que como mucho 
podíamos aspirar a ganar cien dólares al mes —continuaba el joven hacker de 
Odesa—, la promesa económica de ese lenguaje desconocido (dumps, drops, 
wires, COBSs) era irresistible». 

La web no estaba abierta a todos los públicos. Para acceder a las zonas 
restringidas había que hacerse miembro, y para eso había que superar la criba 
de los administradores. Aparte de Script, durante el primer año de actividad 
de Carder Planet otros cuatro miembros asumieron ese privilegiado papel, 
entre ellos Boa, la mano derecha de Script. 

Entre otras cosas, el trabajo de los administradores consistía en decidir a 
quién aceptar como nuevo miembro y a quién no. En primera instancia, 
medidas de seguridad como esa estaban concebidas para desviar la atención 
de las fuerzas del orden y las agencias de inteligencia. El Servicio Secreto 
estadounidense y el MI6 británico conocían muy bien a los predecesores de 
Carder Planet, Carder.org y Carder.ru, pero Script estaba decidido a 
mantenerlos a raya. Confiaba en que la policía local ucraniana no supondría 
una gran amenaza para la página. «No tienen nada, ni personal ni recursos — 
afirmaba—. En las agencias ucranianas nadie domina el inglés; en la mayoría 
de los casos, ni siquiera entienden una palabra. Así que, aunque consigan 
información sobre el “enemigo”, es decir, sobre nosotros, no podrán leerla (ya 
que tampoco tienen fondos para hacerlo). Resumiendo, no pueden hacer 
nada». 

Pero había un cuerpo más eficaz que la policía ucraniana: sus compañeros 
rusos del Departamento R del Ministerio del Interior, más tarde reconvertido 
en Departamento K, especializado en delitos tecnológicos. La policía secreta 
rusa se infiltró en Carder Planet casi desde su fundación. Pero, tal como 
señaló el tarjetero bielorruso Police Dog: «A menos que armásemos jaleo a 
las puertas de nuestra propia casa, la policía local y los servicios de 
inteligencia no nos buscarían problemas». ¿Por qué iba a emplear recursos el 
KGB en investigar una red dedicada a estafar con tarjetas de crédito 
estadounidenses y europeas? Habría sido una monumental pérdida de tiempo. 
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Por el momento, a Moscú le bastaba con observar y almacenar información. 
Sabían perfectamente quién era quién en la comunidad tarjetera de Odesa. 

Si se considera que Carder Planet y los delincuentes informáticos 
presentaban un perfil social, cultural y psicológico muy distinto del de los 
sindicatos criminales tradicionales, no deja de ser irónico que Script y sus 
colaboradores optasen por designar su estructura organizativa tomando 
prestada la terminología de la mafia siciliana. A posteriori, los tarjeteros 
reconocerían que el recurso a una metáfora criminal tan obvia fue una 
equivocación. En su momento, la elección de ese tipo de lenguaje fue un 
reflejo del perfil psicológico de Script, así como de sus futuras ambiciones 
como líder de un poderoso movimiento social. 

Los miembros más destacados (nunca más de seis) pertenecían a «la 
Familia», cuyos máximos representantes o administradores tenían derecho al 
título honorífico de «Padrino». Una vez que esos jefes de la Familia permitían 
el ingreso de un aspirante en Carder Planet, el nuevo miembro podía explorar 
las distintas secciones de la web. En una de ellas, por ejemplo, se había 
colgado una nutrida lista de virus en venta, que podían utilizarse para atacar a 
otros usuarios. Los creadores de virus también se ofrecían para diseñar 
malware a medida, previo pago, destinado a penetrar en sistemas o programas 
específicos. 

La mayor parte de la actividad se desarrollaba en torno al foro de 
tarjeteros. En ese apartado se compraban y vendían tarjetas de crédito robadas 
y datos relativos a cuentas corrientes. «En el curso de su carrera —explica 
Script—, un tarjetero puede especializarse en una o varias áreas del negocio, 
pero no hay nadie que domine todas las ramas. Tarde o temprano, el tarjetero 
necesita de los servicios de alguien. Por eso se ha creado un espacio para 
redes y grupos; ahí se intercambian números e información. Pueden ser 
cuentas bancarias, los datos completos de los propietarios de las tarjetas, a 
veces incluso con el número de pasaporte. También hay tarjeteros que son 
hackers a tiempo parcial, ya que a veces es imposible conseguir la 
información necesaria (sin pagar) a menos que uno se infiltre en un servidor». 

En otro apartado podían adquirirse pasaportes occidentales o permisos de 
conducción estadounidenses. En la mayor parte de los casos, los documentos 
falsificados eran de una calidad excelente. Pero ¿cómo podía un comprador 
estar seguro de ello? Y además: ¿cómo saber que el vendedor no iba a 
estafarlo? Después de todo, ¡sabía que estaba tratando con un delincuente! 
Los rippers —literalmente «destripadores», delincuentes que estafan a otros 
delincuentes— ya eran por entonces una presencia habitual en internet. 
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Esa era la gran baza de Carder Planet. Los miembros de la Familia 
supervisaban todas las operaciones. Aparte de las cribas, reforzaron la 
seguridad convirtiendo la página en una web de pago para ahuyentar a 
posibles alborotadores. Al principio hubo «una gran afluencia de aficionados 
que saturaron el foro», y Script quiso sacudírselos de encima. Peor aún era la 
presencia de rippers, «que ofrecían servicios de mala calidad o que 
directamente no prestaban los servicios por los cuales habían cobrado». 

Pero Carder Planet no era solo una gran superficie para ciberladrones, ya 
que el sistema de cribas permitía a los administradores actuar como garantes 
de los negocios canalizados a través de su web. A cambio, obtenían elogios, 
dinero y un mercado mucho mayor y más eficaz para sus propios productos. 

Script era un hacker atípico, en el sentido de que su principal motivación 
era ganar dinero. Pese a su juventud, fantaseaba con los mares de abundancia 
en los que nadaba Occidente, sobre todo Estados Unidos. La ambición puede 
ser, sin duda, un poderoso acicate, pero el genio creativo de Carder Planet no 
era Script, sino Boa, su estrecho colaborador, para quien el dinero era una 
preocupación de segundo orden. 

El temperamento de Boa era muy distinto del de los demás habitantes del 
Planeta. Tenía casi cuarenta años cuando Script creó la web, es decir que 
superaba en dos décadas la edad de la mayoría de sus compañeros y poseía 
mucha más experiencia que ellos en los negocios de la vida. 

En la década de 1980, todavía en tiempos de la Unión Soviética, Boa 
había dado pruebas de su talento como estudiante de electrónica obteniendo 
dos títulos universitarios. Sus intereses principales giraban en torno al mundo 
de las radios de onda corta. Por aquel entonces era una afición delicada, ya 
que la inteligencia soviética (y, en el caso de las radios de onda corta, la 
inteligencia militar) se empeñaba en controlar todas las comunicaciones 
entrantes y salientes del país. 

Boa gozaba de gran popularidad gracias a su carácter afable, a veces 
carismático. Aunque algunos de sus amigos daban por hecho que trabajaba 
para la sección de comunicaciones de los servicios de inteligencia militar, se 
convirtió en un icono entre la comunidad de radioaficionados de todo el 
mundo, que, como es fácil imaginar, reúne a un elevado porcentaje de 
personajes retraídos y más bien raros. 

Boa se labró una reputación en todo el mundo al convertirse en el primer 
radioaficionado que consiguió emitir desde las islas Spratly, zona restringida 
bajo control militar vietnamita, a lo que siguió un logro si cabe mayor: la 
transmisión de las primeras señales de radio desde Corea del Norte. Aquel 
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triunfó le valió que su nombre fuera celebrado desde Europa hasta Australia, 
y que, a lo largo de la década de 1990, los fans acudieran en tropel a las 
convenciones en las que hacía acto de presencia. Gracias a su expresividad y 
talante, la gente caía a sus pies al momento y todo el mundo quería ser su 
amigo. 

Boa descubrió Carder Planet navegando por la red en el otoño de 1999 y 
enseguida quedó fascinado por el espíritu emprendedor, aunque caótico, de la 
página. Por entonces residía en Malta, donde dirigía un próspero negocio de 
venta de aparatos de vigilancia y contravigilancia a políticos y hombres de 
empresa de más de sesenta países de todo el mundo. 

Conocedor de la experiencia profesional de Boa y de sus capacidades 
organizativas, Script lo invitó a unirse a la Familia al cabo de unos meses. 
Impresionado por el brío y la energía de Script, Boa aceptó entrar a formar 
parte de Carder Planet a principios de 2002. «Cuando Boa se unió al equipo, 
le insufló nueva vida al Planeta —recuerda uno de los jóvenes habitantes del 
Planeta—. Él fue el responsable de la sencillez de su diseño e introdujo varias 
secciones nuevas. Se convirtió en una celebridad en el mundillo». 

Al mismo tiempo, Boa acordó con Script la creación de una segunda 
página web, Boa Factory, que actuaría como complemento de Carder Planet e 
impulsaría otras ramas del negocio: Boa Factory sería conocida, entre otras 
cosas, como proveedora especializada en pasaportes y documentos de 
identificación falsos, así como en la venta al por mayor de tarjetas de crédito 
clonadas y dumps. Mientras que Boa era un sitio web exclusivamente 
profesional, Carder Planet fomentaba la vertiente social de la clandestinidad, 
ofreciendo un lugar donde encontrarse, charlar, comprar y vender en la red. 

Boa Factory introdujo una herramienta revolucionaria, más tarde adoptada 
por Carder Planet, que permitió el aumento de la delincuencia informática a 
escala industrial. Para los ciberladrones el mayor inconveniente residía en la 
certeza de que las personas con quienes trataban también eran delincuentes y, 
por ello, gente de poco fiar. Boa concibió un sistema de fideicomiso, 
conocido en un principio como «servicio de garantía», para resolver el 
problema. El vendedor suministraba al fiduciario una muestra de su 
mercancía (por ejemplo, una docena de números de tarjetas de crédito con sus 
números PIN) y, al mismo tiempo, el potencial comprador le remitía el 
dinero. El fiduciario probaba la mercancía y, si reportaba las ganancias 
prometidas, daba vía libre para que el dinero llegase al vendedor y los dumps 
y números PIN al comprador. La genialidad del plan estribaba en su sencillez. 
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Con él, el negocio quedaba protegido y, a partir de entonces, su éxito no hizo 
sino aumentar. 

Fue Boa quien tuvo la idea de reunir a la Familia en el Primer Congreso 
Mundial de Tarjeteros en el verano de 2002. Su invitación tendía un puente 
electrónico entre los distintos puntos de la antigua Unión Soviética, y los 
destinatarios estaban más que dispuestos a costearse el vuelo (aunque 
seguramente lo cargaran a tarjetas ajenas). ¿Rechazaría un católico la ocasión 
de visitar Lourdes? ¿O un musulmán la oportunidad de ir a La Meca? Del 
mismo modo, ningún delincuente de prez habría dejado pasar la oferta de 
pasar una semana en Odesa. 

El Planeta vivía un momento dulce. Sus usuarios se deshacían en elogios 
hacia las oportunidades de enriquecimiento que ofrecía, y cientos de hackers, 
crackers y spammers esperaban nerviosos a que la cúpula les concediera el 
valioso privilegio de aceptarlos como miembros. 

Script preparó el terreno para la reunión concediendo la primera entrevista 
pública de un tarjetero profesional. Xaker.ru (la web de la revista Hacker), 
que en la actualidad sigue publicándose, es la biblia de la clandestinidad rusa, 
pero hasta sus lectores se quedaron estupefactos al leer cómo Script revelaba 
los secretos del Planeta en marzo de 2002: «¿Por qué uno se convierte en 
tarjetero?», le preguntaba la revista a Script, señalando que el famoso 
Departamento R había sido creado para cazar a tarjeteros y similares. 


Script: Porque se lo dictan la cabeza y el corazón. La 
ciencia ha demostrado que quienes se enfrentan al riesgo 
experimentan un incremento de la llamada hormona de la 
felicidad. Esa hormona, multiplicada por el murmullo de una 
cantidad cualquiera de dólares, resulta decisiva a la hora de 
motivar a alguien para que siga trabajando en esta industria, no 
del todo honrada. 

Hacker: ¿No sienten remordimientos? 

Script: Ninguno. No solo porque cualquiera puede cancelar 
un pago, aunque haya transcurrido mucho tiempo, con solo 
enviar al banco una declaración a tal efecto, sino también 
porque el tarjeteo no es un oficio tan ruin como pudiera parecer. 
Es mucho menos reprobable que robar con violencia. A los 
dueños de las tarjetas no les causamos ningún trastorno; si lo 
piden, el banco se lo devuelve todo, hasta el último penique. Es 
el gobierno el que debería tener remordimientos por el hecho de 
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que los adolescentes se conviertan en desfalcadores a tan corta 
edad. 


Como la mayoría de los tarjeteros, Golubov racionalizaba su negocio: los 
bancos corren siempre con los gastos, de modo que el ciudadano de a pie no 
se ve afectado. La simpleza, el sentimentalismo y la demagogia de ese 
razonamiento pasan convenientemente por alto la manera en que los bancos 
desvían hacia sus clientes el coste del fraude; en realidad, los tarjeteros tienen 
un efecto negativo directo sobre las personas corrientes por las que Script 
mostraba preocupación aparente. 

No obstante, su comentario acerca del desinterés del gobierno por el 
elevado número de jóvenes relacionados con la delincuencia se acerca más al 
blanco. Ucrania era poco menos que un Estado mafioso y el ejemplo que 
daban sus dirigentes políticos y hombres de negocios era pésimo. Script se 
limitaba a seguir ese modelo. 

En un contexto como ese, era lógico que Script creyera que con Carder 
Planet podría reunir el capital necesario para ingresar en la liga de los grandes 
hombres de negocios del país. Su ambición no conocía límites. 

¿Qué podía salir mal? 
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BOA CONSTREÑIDA 


Al mismo tiempo que Script lanzaba Carder Planet en Odesa, los 
investigadores del gigante informático Autodesk decidían en San Rafael, 
California, que había llegado el momento de ponerse en contacto con el FBI. 
Autodesk, el mayor productor mundial de programas de diseño en dos y tres 
dimensiones, vende sus productos por todo el mundo a arquitectos, 
diseñadores, planificadores urbanísticos,  maquetistas, mediadores 
hipotecarios y fabricantes de vehículos. Además, era el proveedor informático 
de Grimley Smith Associates, la firma de ingeniería química de Scunthorpe. 

Programas especializados como los de Autodesk cuestan su dinero. Los 
precios de las licencias individuales para los programas de CAD profesionales 
de Autodesk oscilan entre los tres mil y los siete mil dólares, lo que da una 
idea de las grandes sumas que la empresa invierte en la investigación y el 
desarrollo de sus productos. 

En 2002, la unidad de protección antipiratería de la compañía descubrió 
que un vendedor de Ucrania anunciaba en eBay la nueva versión de uno de 
los programas de diseño de Autodesk por solo doscientos dólares, cuando el 
precio de venta al público era de tres mil quinientos. «Hmm —debieron de 
pensar—. ¡Aquí hay gato encerrado!». 

Silicon Valley sufre el mismo mal que los estudios de Hollywood. 
Muchos rodajes requieren inversiones equiparables a las que se necesitan para 
desarrollar los programas informáticos más complejos. Al mismo tiempo que 
aumentan los costes de producción, la aparición de los fabricantes de DVD 
falsos, a menudo vinculados con organizaciones criminales, provoca una 
bajada en los ingresos. Esto ocurre sobre todo en contextos de recesión: entre 
desembolsar quince dólares por ver una película en el cine o pagar un dólar 
por verla en un DVD de impecable calidad dos meses antes de su estreno en 
las salas, la decisión está clara. 

Imaginémonos ahora al propietario de una empresa de un sector 
competitivo en el que se trabaja, pongamos por ejemplo, con un producto de 
Autodesk. La adquisición del programa requerido más las licencias puede 
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ascender a casi veinte mil dólares, pero si se lo compra al tipo de Ucrania a 
través de eBay el desembolso total es de ochocientos. Seamos sinceros: será 
ilegal, ¡pero es tentador! 

Desde la década de 1970, con la salida al mercado de los primeros 
programas informáticos, las empresas que los producen han intentado en vano 
desarrollar dispositivos anticopia (igual que con los CD y los DVD). En todos 
los casos, las medidas protectoras han sido burladas a los pocos días por 
alguno de las decenas de miles de hackers y crackers de todo el mundo. A lo 
largo de las tres últimas décadas, en ese terreno se ha librado una de las 
luchas más quijotescas de la industria tecnológica. 

Los hackers de Europa del Este han tenido un papel especialmente 
relevante en la vulneración de los dispositivos de seguridad de los programas. 
En la década de 1980, antes de la caída del comunismo, la Unión Soviética 
encomendó a varios de sus aliados (sobre todo Bulgaria y Alemania Oriental) 
del CAME, el bloque para el fomento del comercio, el desarrollo de un 
ordenador personal y la creación de una industria dedicada al software. Las 
características definitorias de los ordenadores comunistas eran las mismas que 
las del resto de los productos del bloque del Este: su aspecto era horrible y se 
estropeaban continuamente. Los desafíos a que se enfrentaban los primeros 
ingenieros informáticos de la región eran tan enormes que, para superar los 
problemas y errores que les salían al paso, desarrollaron un ingenio 
extraordinario. 

Las industrias informáticas establecidas en Europa del Este a lo largo de 
la década de 1980 fueron incapaces de competir con Silicon Valley en los 
años noventa, tras la caída del muro de Berlín, por falta de fondos para 
invertir en investigación o equipos. Sin embargo, las nuevas y poderosas 
organizaciones criminales, cuya influencia sobre las economías de los 
antiguos países comunistas era más que perceptible, consideraron que el 
sector tenía un gran potencial. Lo primero que hicieron fue adquirir las 
plantas de producción (en general por medios más bien turbios); a 
continuación, contrataron a aquellos talentosos ingenieros para producir 
programas pirata a gran escala. Bulgaria, Ucrania y Rusia marcaban el paso, y 
Rumanía las seguía de cerca. 

Se entiende ahora por qué Autodesk, al descubrir que un vendedor 
ucraniano ofrecía cantidades significativas de sus productos pirateados en 
Estados Unidos, se vio obligada a actuar. Tras meditarlo, decidieron llamar al 
FBL que a su vez alertó a la fiscalía de San José, California. Dado que el 
fraude involucraba a eBay, la fiscalía recurrió a un investigador en concreto: 
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Greg Crabb, del Servicio de Inspección Postal estadounidense (USPIS), por 
aquel entonces con base en San Francisco. 

Los cuerpos de seguridad competentes en casos de delito informático son 
tres: el FBI (pues su deber es combatir el crimen), el Servicio Secreto (porque 
entre sus funciones se halla velar por la moneda estadounidense y prevenir las 
estafas con tarjetas de crédito) y el USPIS (cuyo fin es controlar todas 
aquellas actividades delictivas relacionadas con el servicio federal de 
correos). Si este último cuerpo se implicó en el caso, fue porque las estafas 
perpetradas a través de eBay y similares conllevaban a menudo el envío de 
mercancías por correo (tanto si se trataba de bienes adquiridos de forma ilícita 
como de operaciones de blanqueo de capitales). 

Durante los últimos quince años, el USPIS ha reunido un formidable 
equipo dedicado a la investigación de delitos tecnológicos. La fama de Greg 
Crabb llegó a tal extremo que acabó dejando San Francisco para dirigir en 
Washington la Unidad Global de Ciberinvestigaciones, situada en un enorme 
y anodino edificio del enorme y anodino complejo conocido como Federal 
Center (se aconseja al lector que lo tache de la lista de lugares interesantes si 
alguna vez visita la capital de Estados Unidos). 

El aire teutónico de Crabb, así como su áspera forma de arrastrar la voz al 
hablar, lo hace a la vez temible y atractivo. Se formó como contable, y parece 
ser de esos a los que uno, aunque tenga las manos limpias, nunca dejaría 
meter las narices en su declaración de impuestos por miedo a ser hallado en 
falta. Profesionalmente, para Crabb eso supone una gran ventaja, ya que ser 
Capaz de revisar largas listas de cifras, mensajes cortos y datos a primera vista 
incomprensibles es condición sine qua non para ser un buen ciberpolicía. 
Suena emocionante pero, como todo lo relacionado con la informática, la 
mayor parte del tiempo es de un aburrimiento mortal. 

Una vez destinado al caso de Autodesk, Crabb rastreó adónde enviaban el 
dinero los compradores de los programas pirata. Resultó que los pagos iban a 
parar a una serie de cuentas corrientes pertenecientes a quince «mulas», 
ciudadanos estadounidenses repartidos por todo el país. Las estafas y el 
blanqueo de capitales dependen de estos colaboradores (en su mayoría) 
involuntarios, gente que contesta a anuncios que prometen suculentas 
ganancias a cambio de trabajar desde el ordenador de casa. A los candidatos 
admitidos se les pide que pongan sus cuentas corrientes a disposición de su 
nuevo jefe. En el caso de Autodesk, las mulas recibían doscientos dólares la 
primera vez y, en lo sucesivo, ciento ochenta, pues se quedaban veinte en 
concepto de comisión. Su trabajo consistía en transferir el dinero a un banco 
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de Letonia, uno de los tres Estados bálticos cuya contribución a la 
delincuencia telemática, y al problema de la inseguridad informática en 
general, resulta desproporcionada si se compara con los siete millones de 
habitantes que cuenta en total. 

Con la ayuda de la policía letona, Crabb averiguó que el destino último 
del dinero eran una serie de bancos de Ternopil, en el oeste de Ucrania. Todas 
las cuentas pertenecían a un tal Maksim Kovalchuk o a su esposa. 

Crabb se daba cuenta de que Kovalchuk no suponía ningún riesgo para la 
economía estadounidense. En comparación con las cifras que mueve 
normalmente el crimen organizado, la cantidad que Kovalchuk ingresaba con 
su estafa era irrisoria, aunque para Autodesk resultara sangrante. Crabb 
intentó acceder a la cuenta de correo de Kovalchuk para descubrir si contenía 
más secretos. Durante el proceso encontró «la manera» de controlar sus 
comunicaciones, lo que debe interpretarse, o bien como que logró infiltrarse 
en su ordenador, o bien como que convenció a su proveedor de correo para 
que le permitiese acceder a él. Sea como fuere, el éxito de Crabb tuvo 
consecuencias decisivas, ya que al leer sus correos averiguó que Kovalchuk 
estaba implicado en un proyecto mucho más ambicioso que la estafa de 
Autodesk: el desarrollo de una web llamada Carder Planet. 

Aunque el objetivo principal seguía siendo Kovalchuk y su relación con la 
estafa, Crabb empezó a reseguir las ramificaciones de Carder Planet como 
segunda línea de investigación. Ignorante de que Estados Unidos le seguía la 
pista, Kovalchuk no tomaba muchas precauciones a la hora de comunicarse, 
así que, gracias en parte a la suerte y en parte a su concienzuda labor, Crabb 
se hallaba en una posición ventajosa. No solo podía prever los movimientos 
de Kovalchuk, sino que hasta les había tomado la delantera a las agencias de 
inteligencia occidentales. Al penetrar en la comunidad de ciberdelincuentes 
más dinámica del mundo, Crabb había triunfado donde hasta entonces los 
cuerpos occidentales habían fracasado. 

El problema era que, por mucho que Crabb averiguase sobre la 
comunidad hacker de Ucrania, no podía hacer gran cosa. Ni siquiera podía 
detener a Kovalchuk. No solo no existía convenio de extradición entre 
Estados Unidos y Ucrania, sino que la tesitura política de ese gran país del 
este de Europa era de lo más delicada. Leonid Kuchma presidía por entonces 
el país, entrecruzado por una amplia red de relaciones corruptas entre 
oligarcas y mafiosos. Estados Unidos, además, se hallaba en disputa con 
Europa y Rusia por ejercer su influencia en Ucrania, pero en esos momentos 
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los vientos dominantes soplaban con fuerza desde Moscú. Mientras no saliera 
de Ucrania, Kovalchuk podía considerarse a salvo. 

A todo esto, a finales de 2002, mientras el inspector Crabb estaba todavía 
en San Francisco, se puso en contacto con él el departamento de seguridad de 
Visa, cuyo cuartel general se halla en la misma ciudad. La dirección estaba 
desesperada por culpa de un hacker llamado Boa que había robado, o ayudado 
a otros a robar, decenas de miles de tarjetas de crédito a través de su famosa 
web, Boa Factory. Crabb dio un respingo: el nombre de Boa le sonaba de 
varias conversaciones leídas en la cuenta de Kovalchuk. Si mal no recordaba, 
Kovalchuk había realizado multitud de compras en Boa Factory, donde había 
aprendido los trucos del oficio y había participado en las discusiones acerca 
del desarrollo de Carder Planet. Poco después, el inspector identificó a Boa y 
Script como las figuras centrales de Carder Planet. Con discreción, mandó 
una nota a través de Interpol por la que instaba a las demás fuerzas del orden 
a contactar con él en caso de detención de ciudadanos ucranianos sospechosos 
de delitos tecnológicos. 

A finales de febrero de 2003, Roman Vega regresaba de un viaje de 
negocios a su casa de Malta cuando uno de sus amigos le pidió que fuera a 
visitarlo a Nicosia, Chipre. Pasaron la noche bebiendo y recordando sus 
aventuras en Birmania, donde, en 1991, habían formado parte del equipo de 
aficionados que realizó la primera emisión de radio del país, entonces bajo 
régimen militar. 

Al volver a su habitación del hotel Castelli, Vega se encontró con una 
desagradable sorpresa: Modesto Poyiadjis, inspector de la policía local, 
procedió a arrestarlo por complicidad en un caso de fraude de tarjetas de 
crédito perpetrado por otro ciudadano ucraniano al que Vega había permitido 
alojarse en su habitación (decisión, según se ve, equivocada). Para Vega, fue 
el principio de una relación con las fuerzas de la ley chipriotas y 
estadounidenses que solo cabe calificar de kafkiana. 

Tras revisar los archivos de Interpol, Poyiadjis se puso en contacto con 
Greg Crabb, el agente a cargo de la investigación de Boa en Estados Unidos. 
El inspector le informó a Crabb que estaba convencido de que Roman Vega 
no era otro que Boa. Crabb no cabía en sí de emoción. Antes de colgar el 
teléfono, ya estaba reservando billete para el primer vuelo con destino a 
Nicosia. No se trataba tan solo de intentar extraditar a uno de los cerebros de 
Carder Planet, sino que, además, ¡tenían su ordenador! Si los chipriotas 
habían conseguido identificar a ese tipo con su alter ego sin saber muy bien 
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qué se traían entre manos, qué no podría descubrir un investigador como 
Crabb en su disco duro. 

«La detención de Boa fue un duro golpe», asegura Xhora, miembro de 
Carder Planet, haciéndose eco del sentir de muchos de sus cibercompatriotas 
en ese momento. Gracias a Boa, Carder Planet se había convertido en una 
página divertida, interesante y lucrativa. Por ser mayor y más experimentado 
que el resto de los habitantes del Planeta, muchos lo creían inmune a peligros 
como las fuerzas de la ley. 

Mientras esto sucedía, Script acaparaba cada vez más poder y dinero de 
resultas de su posición en Carder Planet. «Sus entrevistas tenían como fin 
incrementar la popularidad de la página y aumentar el volumen de negocio — 
asegura Null_ Name, otro de los habituales de Carder Planet—, y hay que 
decir que lo consiguió. La afluencia de nuevos miembros era continua. Pero el 
ambiente cambió. Dejó de ser lo que era». 

La cordial camaradería de los primeros días, en efecto, iba desapareciendo 
a gran velocidad, pero aun así las ganancias de la web eran mayores que 
nunca. Se añadió una sección en inglés en el foro, y, al poco tiempo, tarjeteros 
del mundo entero empezaron a darse de alta en la página. Entretanto, muy 
lejos, en San Francisco, Greg Crabb se daba un verdadero festín con el disco 
duro de Boa, de donde extrajo los mil y un secretos que Boa y Script tenían 
entre manos. «Nunca tuve que entrevistarme con Boa —afirma Crabb—. Ni 
siquiera me interesaba lo que tuviera que decir, porque estaba todo en su 
disco duro. No podía añadir nada nuevo». 

Sin embargo, es posible que Crabb no pudiera registrar el ordenador todo 
lo bien que habría querido. Por lo visto, los investigadores estadounidenses 
rompieron el sistema de encriptación del VAIO de Boa, pero este lo había 
reforzado con otro potente programa llamado Handy Bits EasyCrypto (de 
descarga gratuita), que habría impedido el acceso al ochenta por ciento de los 
archivos del equipo. 

En los foros de tarjeteros aún hoy se perciben signos de descontento, ya 
que sus miembros dan por seguro que Roman Vega delató a Golubov. 
Mentira: todo lo que se averiguó sobre Golubov procedía de los datos 
almacenados en el VAIO. Vega no solo guardó silencio, lo cual tuvo para él 
un coste personal considerable, sino que se ha pasado casi diez años en varias 
prisiones chipriotas y estadounidenses sin haber sido condenado por ningún 
delito en concreto. 

A pesar de la nueva información, Crabb todavía no podía hacer nada 
contra Script, que no salía de Ucrania, a diferencia de Maksim Kovalchuk, 
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que fue arrestado junto con su mujer por la estafa de Autodesk en una lechería 
de Bangkok tres meses después de la detención de Roman Vega en Nicosia. 
Al igual que Vega, que desde Chipre fue extraditado a California, Kovalchuk 
salió de Tailandia con destino a la Costa Oeste de Estados Unidos. 

Script no solo no tenía ninguna intención de abandonar su país natal, sino 
que, para blindarse aún más, a principios de 2004 anunció en Carder Planet 
que dimitía de su cargo en la dirección y se desvinculaba de la página. 

Script, como siempre, tenía un plan. Las tarjetas —cuyo robo, como se ha 
visto, no le causaba remordimientos— le habían reportado un dinero que 
podía invertir en negocios legítimos. Quizá lo hiciera por evitar sorpresas 
desagradables en el futuro, o tal vez porque tenía ambiciones más allá del 
ciberespacio. En cualquier caso el anuncio no dejaba lugar a dudas: cedía las 
riendas de la página a uno de sus consiglieri de confianza y abandonaba para 
siempre la órbita del Planeta. 

Por lo visto, Script había hecho propósito de enmienda. Entonces ocurrió 
algo con lo que no había contado. 

La revolución. 
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SCRIPT BORRADO 


Boris Borisovich Popov llamó a la oficina para avisar de que se encontraba 
indispuesto. El médico, explicó, le había aconsejado unos días de reposo. 
Algunos de sus colegas se mostraron sorprendidos. La menuda complexión y 
los rasgos adolescentes de Boris Borisovich recordaban en ocasiones a los de 
un niño enfermizo, pero en realidad era uno de los trabajadores más aplicados 
y disciplinados de la plantilla. «Daba gusto trabajar con él —diría más tarde 
uno de ellos—, no había nadie mejor en todo el servicio». 

En lugar de guardar cama, Popov —que de hecho rebosaba salud— salió 
de su apartamento, paró un taxi y se dirigió al aeropuerto Borispol de Kiev, 
donde embarcó en un vuelo para Odesa. Originario de Donetsk, en el este de 
Ucrania, y con el ruso por lengua materna, su presencia en el sur no levantaría 
sospechas, siempre y cuando se anduviera con cuidado. 

Nada más llegar a Odesa, tomó el autobús que llevaba a la ciudad. Era un 
caluroso día de julio. La temperatura bordeaba los treinta grados, pero la 
alegre brisa del mar Negro la hacía soportable. Popov no tardó en encontrar el 
apartamento que había alquilado. Pocas horas después, llegaron sus tres 
compañeros de equipo: Natasha Obrizan y los señores Grishko y Baranets. 
«No podíamos alojamos en un hotel —explica Boris— porque 
desconfiábamos de la policía local». Solo otra persona en todo el país sabía 
que se encontraban en Odesa: el ministro del Interior. 

Seis meses antes, el país había sufrido una virulenta convulsión: la 
revolución naranja. Ucrania es un país excepcionalmente fértil, con potencial 
para suministrar por sí solo alimento a casi toda Europa, pero ello no le ha 
ahorrado tragedias. A lo largo del siglo xx conoció el nacionalismo extremo, 
la autocracia, el comunismo y el fascismo; cada cual a su manera, todos los 
regímenes se cebaron con la población del país: guerras civiles, hambrunas, 
genocidios, deportaciones y pobreza generalizada. 

El producto más duradero de esta historia de caos ha sido la división de 
Ucrania en dos regiones geográficas y lingúísticas: la occidental y la oriental; 
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la ucraniana y la rusa. Kiev, la capital, se halla en medio de ambas a modo de 
frágil puente, en un intento de conciliar dos tradiciones en ocasiones hostiles. 
En los días más negros del siglo xx, fueron muchos quienes vieron en la 
región occidental un símbolo de Alemania y el fascismo, y en la oriental, un 
baluarte del comunismo moscovita. 

No siempre la división es tan clara: en el este pueden encontrarse bolsas 
de hablantes ucranianos y, a menudo, los candidatos prorrusos cosechan votos 
inesperados en ciertas zonas orientales. De todos modos, vale como regla 
general. Desde la independencia, Kiev y las provincias occidentales han 
luchado por estrechar lazos con la Unión Europea y la OTAN, mientras que la 
zona oriental ha intentado reforzar sus vínculos con Rusia. De hecho, muchos 
ucranianos del este todavía se sienten parte del gigante vecino. 

Hasta 2004, los distintos gobiernos y presidentes ucranianos habían 
apoyado la línea prorrusa, para alegría del este y disgusto de los nacionalistas 
del oeste. Por consiguiente, las relaciones con la Unión Europea, la OTAN y 
Estados Unidos eran más bien frías: los representantes del gobierno ucraniano 
pasaban casi tanto tiempo en la Casa Blanca como en las cárceles 
estadounidenses por blanqueo de dinero y demás actividades propias de la 
mafia globalizada. 

A la vista de que funcionarios, políticos y oligarcas se llenaban los 
bolsillos a expensas del ciudadano común, cuyo nivel de vida cayó en picado 
antes y después del cambio de milenio, empezó a fraguarse un nuevo 
movimiento que gravitaba en torno a dos políticos con un estilo distinto, 
Víctor Yúshchenko y Yulia Timoshenko. Solo más tarde se supo que estaban 
cortados por el mismo patrón que sus oponentes. Yúshchenko saltó a los 
titulares en septiembre de 2004 tras ser envenenado con dioxinas (casi seguro 
por el KGB). Su rostro quedó gravemente desfigurado, pero sobrevivió al 
intento de asesinato y anunció que no se retiraría de la carrera por la 
presidencia. 

La campaña para derrocar a la vieja guardia cautivó la imaginación de los 
jóvenes ucranianos, que la convirtieron en un festival político, conocido como 
la revolución naranja. Estudiantes y activistas serbios que habían contribuido 
a deponer a su propio dictador, Slobodan MilosSevic, llegaban a Kiev para 
enseñar a sus cuasivecinos cómo sacar partido de aquel fervor político. 
Estados Unidos, por su parte, presintiendo que aquella era la gran ocasión 
para darle en todos los morros a Moscú y arrastrar a Ucrania hacia la órbita de 
la OTAN, envió a sus proselitistas neoconservadores al país. 
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Aquella repentina oleada de actividad política tuvo consecuencias en la 
esfera internacional desde el principio. Cuando Yúshchenko fue nombrado 
por fin presidente y Timoshenko primera ministra, en enero de 2005, Ucrania 
ya se había convertido en un banco de pruebas viviente de las cada vez más 
deterioradas relaciones entre Rusia y Estados Unidos. Los dos nuevos líderes 
no solo se comprometieron a ingresar en la Unión Europea, sino que 
anunciaron su deseo de que el país en breve pasara a engrosar la lista de 
miembros de la OTAN. Aunque la iniciativa estaba destinada al fracaso (al fin 
y al cabo contaban tan solo con el apoyo del treinta por ciento de los votantes 
ucranianos), Moscú interpretó la acción poco menos que como una 
declaración de guerra. 

En los cuatro años transcurridos desde su primer encuentro con Maksim 
Kovalchuk —el vendedor de falsos productos Autodesk—, el inspector Greg 
Crabb había dedicado su paciencia a afianzar las relaciones con colegas de los 
numerosos cuerpos de seguridad ucranianos. Sin embargo, y pese a contar con 
contactos importantes, sus solicitudes de arresto contra Dimitri Golubov, alias 
Script, fueron siempre educadamente rechazadas. 

Los decisivos sucesos de diciembre de 2004 y enero de 2005, los meses 
en que Yúshchenko y Timoshenko alcanzaron el poder, dieron un vuelco a la 
situación. Crabb entendió que la revolución naranja representaba una 
oportunidad que no podía desaprovechar. Poco después de aquellos 
tumultuosos acontecimientos, lo llamaron de la embajada de Estados Unidos 
en Kiev y le informaron que el Ministerio del Interior ucraniano acababa de 
depurar al anterior núcleo duro y había reunido un nuevo equipo más 
dispuesto a colaborar con Occidente. «¡Venga ahora mismo!», le dijeron en la 
embajada. No hizo falta decírselo dos veces. 

El inspector aterrizó en Kiev en junio de 2005 y presentó sus pruebas del 
caso Golubov ante los funcionarios del Ministerio del Interior. Dos semanas 
después, el inspector Popov, del Departamento contra el Crimen Organizado, 
se dirigía a Odesa con instrucciones de localizar y detener al escurridizo 
Script. 

Popov sabía que no iba a ser fácil. Lo que más lo preocupaba eran las 
filtraciones, ya que, si la noticia llegaba a Odesa antes que él, la operación 
fracasaría antes de haber empezado. Por lo demás, era probable que Golubov, 
tarjetero consumado y multimillonario, se hubiera procurado la protección de 
las fuerzas de seguridad locales. Entre los suyos, era invencible. 

La calle Dovzhenko queda tres kilómetros al sur del centro de Odesa. La 
zona, con sus calles flanqueadas de árboles, es uno de los barrios de moda de 
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la ciudad. Golubov vivía en el apartamento de su abuela, de aquí la sorpresa 
de Popov y su equipo cuando, al presentarse en el lugar, se encontraron con 
una gruesa puerta de acero bloqueándoles el paso. Tras tomar posiciones, 
Popov hizo una señal a sus compañeros. «¡Abra, policía!», gritaron mientras 
aporreaban la puerta, que ni se movía. Al otro lado, silencio. Aguzaron el oído 
por si percibían algo a través del muro de acero; uno de ellos creyó detectar 
un rumor. Pero, por más que insistieron, la puerta permaneció sólidamente 
cerrada. 

Mientras Popov barajaba la opción de echar mano de la artillería pesada, 
sus olfatos detectaron el olor acre del papel quemado. «¡Cielo santo! —pensó 
—. ¡Está quemando pruebas!». Sin perder un segundo, Popov alertó a los 
servicios de emergencia y, al instante, un camión de bomberos se puso en 
camino. Como el calor era cada vez más intenso, los bomberos abrieron un 
boquete en la pared del apartamento y rociaron con espuma el interior. 
Cuando ya parecía que el apartamento de la abuela iba a quedar anegado por 
los productos químicos, Golubov decidió rendirse y por fin abrió la puerta. 

La escena era indescriptible. Popov no solo se encontró con los archivos 
de Golubov en llamas, sino al propio hacker introduciendo sus discos duros 
en un Raskat. Si Golubov se hubiera limitado a borrar los archivos de sus 
varios ordenadores, cualquiera con rudimentos de informática forense habría 
podido reconstruirlos sin mayor dificultad. El papel puede quemarse, pero los 
archivos informáticos no se destruyen tan fácilmente. Sin embargo, el Raskat, 
artilugio de fabricación rusa, emite unas potentes ondas electromagnéticas 
capaces de destruir los datos por completo. Golubov había sido pillado con las 
manos en la masa, y Popov se lo llevó a Kiev, donde ingresó en prisión. 

Vega y Golubov ya estaban entre rejas (como otros muchos miembros 
vitales de la familia Carder Planet). Ambos negaron por activa y por pasiva 
ser Boa y Script. Ninguno de los dos ha sido condenado todavía por ningún 
delito. A decir verdad, el primero ha pasado siete años en distintas prisiones 
norteamericanas sin haber sido sometido a un proceso judicial completo, lo 
que suscita serias reservas acerca de la eficacia del sistema judicial 
estadounidense. 

Sea como fuere, Carder Planet había sido descabezada. Puede que la web 
que catalizó las ambiciones de tantos hackers y crackers haya desaparecido, 
pero su legado es inmenso: gracias a ella, la delincuencia en la red vivió una 
revolución. 

Por otro lado, la delincuencia informática a gran escala ya se había 
diseminado más allá de la cuna ucraniana. Durante los dos últimos años de 
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Carder Planet, sus administradores habían impulsado un foro en lengua 
inglesa que se desarrolló de forma paralela a los paneles de discusión en ruso. 
Dicho foro contagió el espíritu de Odesa entre hackers y tarjeteros del mundo 
entero. Dos de sus miembros eran principiantes, pero sentían una gran 
curiosidad por el nuevo mundo del tarjeteo profesional. Uno de ellos adoptó 
como avatar la figura de un simpático pirata; el otro, una imagen sacada de 
una de las películas favoritas de muchos geeks: JiLsi y Matrix001 entraban en 
escena. 
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TIGRE, TIGRE 


Colombo, Sri Lanka, 1988 


¡Pum! ¡Pum! ¡Pum! 

«¡Abran! ¡Abran!» 

Cuando un grupo de soldados grita esto, rara vez esperan respuesta, y 
mucho menos a las cinco y media de la madrugada. Tras abatir la puerta a 
golpes de fusil, entraron en tropel en la casa. Avanzaron habitación por 
habitación, ordenaron a los miembros de la familia que se echaran al suelo y 
revolvieron el domicilio de arriba abajo. 

Con el ruido y las luces, los tres jóvenes se despertaron aterrorizados. 
«¡Fuera de la cama! ¡Fuera de la cama!». Los muchachos, sudados por el 
Calor tropical y sin más vestimenta que la ropa interior, notaron que las 
mandíbulas les temblaban de miedo. Los soldados separaron al mayor, de solo 
once años, y señalaron una porción de piel blanca del tamaño de una mano 
que tenía en el estómago. «¿Qué es esto? ¿Qué es esto? —gritaron con voz 
casi triunfal—. ¡Ha estado manipulando explosivos!». 

«¡Es una mancha de nacimiento! —contestó—. ¡Solo es una mancha de 
nacimiento!». 

Se llevaron al muchacho aparte y, antes de empezar a interrogarlo, lo 
hicieron sentarse en una de las sillas del salón. Los padres y la abuela le 
suplicaron al soldado que parecía estar al mando. Al final, los soldados 
concluyeron que aquel muchacho de figura endeble que todavía no había dado 
el paso a la adolescencia no tenía aspecto de fabricar bombas para los Tigres 
Tamiles. 

El pequeño Renu estaba acostumbrado a esa clase de sobresaltos. Su vida 
había estado salpicada por sucesos de ese tipo desde la más tierna edad. Cinco 
años antes, en julio de 1983, con solo seis años, había sido evacuado de 
Colombo. Los militantes tamiles habían abatido a trece soldados del ejército 
de Sri Lanka. En represalia, una muchedumbre de cingaleses había asesinado 
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a cientos de tamiles inocentes en la capital, Colombo, desencadenando una 
prolongada guerra civil que no terminaría hasta veintiséis años más tarde. 

Esperar sentado a que las bandas cingalesas acabasen de saquear la ciudad 
era impensable, así que los padres de Renu hicieron las maletas y se llevaron 
a sus tres hijos a Jaffna, la principal ciudad de la comunidad tamil de Sri 
Lanka. Situada en el extremo septentrional del país, Jaffna se halla a solo 
ochenta kilómetros de la costa sudeste de la India. Además, era el bastión de 
las milicias tamiles. La resistencia contra el gobierno de Colombo, dominado 
por los cingaleses, era cada vez más fuerte. 

Al poco tiempo, la impredecible violencia de la guerra civil y la 
insurgencia empezó a propagarse hacia el nuevo hogar de Renu. En 1987, las 
tropas gubernamentales pusieron sitio a Jaffna, donde los infames Tigres 
Tamiles fueron combatidos por varios grupos armados, en especial los TLET. 
El flujo de refugiados que abandonaba la ciudad en dirección al sur de la 
India a través del estrecho de Palk alcanzó dimensiones críticas, ante lo cual 
el gobierno de Nueva Delhi se vio obligado a actuar. En virtud de un acuerdo 
con el gobierno de Sri Lanka, la India envió a Jaffna una nutrida fuerza de 
pacificación con la misión de supervisar un acuerdo de paz. 

Las relaciones entre los pacificadores indios y los Tigres Tamiles no 
tardaron en truncarse y Jaffna volvió a convertirse en una de las ciudades más 
peligrosas de la Tierra. En octubre de 1987, las tropas indias masacraron a 
varias docenas de civiles en el principal hospital de la ciudad; en veinticinco 
años de guerra civil, aquel fue el único suceso que logró unir al gobierno de 
Colombo y a los Tigres Tamiles. Para Renu y su familia, el riesgo de 
permanecer en Jaffna era demasiado alto, de modo que decidieron regresar al 
sur, a Colombo. 

Una tarde, el padre de Renu le pidió al muchacho que fuera a comprar 
comida. Renu, que nunca había visto tantas rupias juntas, se las guardó en el 
bolsillo junto con la lista de la compra. De camino a la tienda, vio a un 
hombre que jugaba a un juego al lado de la carretera. Había tres cubiletes y, 
debajo de uno de ellos, una piedrecita. Renu vio cómo la gente apostaba por 
uno u otro de los cubiletes después de que el hábil charlatán los hubiera 
cambiado de sitio a la velocidad del rayo. Renu quedó maravillado y 
sorprendido al comprobar que los jugadores fallaban invariablemente a la 
hora de señalar dónde estaba la piedrecita, mientras que él, en cambio, habría 
acertado todas las veces. Se abrió paso hasta el principio de la fila y sacó los 
arrugados billetes que le había dado su padre. Al igual que quienes lo habían 
precedido, Renu erró cubilete y, uno a uno, los billetes fueron pasando al 
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bolsillo del hombre. Cuanto más perdía, más frenéticas se hacían sus 
apuestas. Era incapaz de parar. Al final, se le acabaron los billetes y su 
menudo cuerpo, rebosante de adrenalina, empezó a exudar un sudor frío. 
Justo entonces, vio a su padre con la mano levantada encima de su cabeza. 
Nunca volvió a apostar. 

En los años transcurridos desde la salida de Jaffna, la capital se había 
calmado un poco, aunque la seguridad de los tamiles nunca estuvo del todo 
garantizada, como bien lo demostró el asalto de los soldados a su casa. Pero, 
para entonces, a la familia de Renu ya casi se le habían acabado las opciones. 

Renu, que aún no abandonaba la infancia, se había pasado buena parte de 
su vida yendo y viniendo del fuego a las brasas, en ocasiones salvándose 
literalmente por los pelos. Poco después de que los soldados asaltaran su casa 
y confundieran al chiquillo con un terrorista por culpa de una mancha de 
nacimiento, la madre de Renu decidió que la situación en la capital de Sri 
Lanka era demasiado peligrosa para un preadolescente tamil. Podía sentirse 
tentado de unirse a los Tigres o meterse en problemas con los grupos 
nacionalistas cingaleses que merodeaban por la ciudad. 

En 1992, la familia había reunido el dinero suficiente para enviar a Renu a 
Londres, donde vivían sus tíos. 

Aquella nueva vida, en la otra punta del mundo, en un ambiente 
totalmente distinto, tenía también sus peligros. En la Langdon School —una 
de las escuelas más grandes y conflictivas del este de Londres—, Renu, bajito 
y de constitución endeble, se vio atrapado entre dos grandes comunidades, la 
blanca y la bengalí. Se le daban bien las matemáticas, en las que aventajaba a 
todos sus compañeros, pero apenas conseguía expresarse en inglés. Se 
convirtió en un marginado y padeció acosos continuos. Tanto fue así que, 
pasados seis meses, se negó a volver a clase, pese a los ruegos de sus 
desesperados tíos. 

El muchacho estuvo dos años encerrado en casa; a veces pasaba semanas 
sin salir al aire libre. Lo único que hacía era ver televisión día y noche. 

Así fue como Renukanth Subramaniam aprendió a soportar la soledad. 

Y quizá se habría instalado en ella de forma definitiva de no ser porque su 
tío lo obligó a volver al mundo exterior, en concreto al Newham College for 
Further Education. Ahí aprendió nuevas destrezas: a relacionarse con sus 
compañeros, a fumar marihuana, a beber brandy Martell y a programar 
ordenadores. 

En el pub local, Renu, aunque estuviese fumado y bebido, machacaba a 
sus oponentes virtuales de Street Fighter. ¿Cuántos jóvenes se vieron atraídos 
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de forma obsesiva por esa afición hipnotizante y repetitiva, en la que el 
jugador se enfrentaba, por medio de un avatar, a una serie de batallas a muerte 
contra una retahíla de agresivos luchadores? ¿Era ese un medio de aplacar la 
agresividad o de fomentarla? ¿Provocaba la dopamina segregada en el lóbulo 
frontal del cerebro —que con esos juegos se dispara— una intensa adicción 
en todos los jóvenes o quizá solo en algunos? 

Renu aporreaba la máquina con el cuerpo empapado en adrenalina y el 
cerebro rebosante de endorfinas. Al terminar, todavía en tensión, se entregaba 
al Martell para prolongar la sensación de bienestar y relajarse. Poco a poco, 
sus hábitos empezaron a hacer estragos en su de por sí escasa paga. El Street 
Fighter ocupaba un lugar cada vez más importante en su vida. Cuando se iba 
a dormir, las violentas imágenes del juego reaparecían en tecnicolor en su 
imaginación. 

De la misma manera que años atrás había dejado de apostar, resolvió no 
jugar más, y nunca volvió a tocar un videojuego. Por desgracia, la renuncia se 
limitó únicamente al Street Fighter y no a su creciente afición a la bebida y 
las drogas. 

Que hubiera repudiado los videojuegos no significaba que renunciase a su 
fascinación por los ordenadores. Había tenido su primer contacto con ellos a 
los nueve años, en Sri Lanka, y desde entonces le encantaban. Como no tenía 
dinero, no podía acceder a ellos de forma regular. Pero el problema 
desapareció cuando, con poco más de veinte años, aceptó una plaza para 
estudiar informática en la Universidad de Westminster, en Londres. 

Poco después, Renu descubría los warez, programas pirateados cuyos 
sistemas de seguridad habían sido descifrados y distribuidos entre una serie de 
iniciados conocidos como la Escena. 

En ese mundo podía tener amigos y, a la vez, estar solo. 
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TEORÍA DE JUEGOS 


Eislingen, Baden-Wirttemberg, 2001 


Mientras Renu exploraba la Escena, a ochocientos kilómetros, en el sur de 
Alemania, otro usuario tropezaba con la misma misteriosa comunidad. 

Matrix001 tenía quince años y estaba enamorado. Pero no de una chica. A 
Matrix lo que lo volvía loco eran los videojuegos. Empezaron siendo una más 
de las actividades a las que un adolescente normal y equilibrado dedica su 
tiempo libre, junto con la gimnasia y la orquesta de la escuela, en la que 
tocaba el clarinete. A primera vista, todo era normal. Sabía cómo disimular su 
secreta obsesión por los videojuegos. Nadie —ni amigos, ni padres, ni 
hermanos—, a excepción quizá de su hermano pequeño, tenía la menor idea. 

No solo le encantaba jugar, sino que se le daba bien. Pero, a medida que 
se acercaban los exámenes de graduación, sus sesiones frente al teclado 
empezaron a robarle horas de sueño. Mantenerse al día de las últimas 
novedades salía caro, sobre todo cuando (como en el grupo de jugadores al 
que pertenecía Matrix) el prestigio de uno dependía de haber jugado y 
superado juegos recién aparecidos en el mercado. 

En el año 2000, la afluencia de novedades con gráficos nunca vistos era 
continua. En cuatro días apareció la serie de Pokémon y, al otro extremo del 
espectro, WWF Smackdown 2: Know Your Role, que fue la sensación se la 
temporada junto con Grand Theft Auto, con sus característicos guiones 
violentos y pornográficos. Matrix se volvía loco por hacerse con los últimos 
juegos, pero no podía permitírselos todos. 

En lo relativo a los juegos, su vida parecía un reflejo de la de Renu. En lo 
demás, no tenían nada en común. 

Decidido a satisfacer su gran pasión, Matrix descubrió una comunidad de 
internet conocida como escena fXp. El fenómeno se reveló crucial, no solo 
para la vida de Matrix, sino para los tornadizos parámetros de la cultura de 
internet. 
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En las dos décadas transcurridas desde su introducción, el ordenador 
personal se había convertido en el centro de un apasionado, aunque críptico, 
debate —entre desarrolladores, vates y usuarios iniciados— a propósito de su 
papel en la sociedad. Muchas de las actividades delictivas que se consuman 
en la red tienen su origen en una escisión de base en el debate filosófico 
generado por la aparición de internet. 

Simplificando un poco, el debate bascula, por un lado, entre quienes creen 
que lo principal es su valor comercial y, por otro, quienes opinan que se trata 
en última instancia de una herramienta social e intelectual cuya naturaleza 
altera el código moral fundamental de la comunicación de masas. Para los 
primeros, copiar «códigos» informáticos (los lenguajes en que los programas 
reciben instrucciones) sin permiso explícito constituye una infracción. Los 
segundos, por el contrario, están convencidos de que, a partir del momento en 
que se ofrece al público un programa, se renuncia a todo derecho de autoría. 

El núcleo de la discusión se remonta a febrero de 1976, a una carta abierta 
enviada por Bill Gates a la incipiente comunidad de usuarios de la que 
saldrían muchos geeks, hackers y crackers. En ella, Gates lamentaba que el 
90 por ciento de los usuarios del primer lenguaje de programación de 
Microsoft, el Altair BASIC, no lo hubiera comprado, sino que lo hubiera 
copiado, de modo que Gates no obtenía ganancias por la enorme cantidad de 
trabajo y dinero invertidos en su desarrollo. Aunque el estilo de Gates acusaba 
la inelegancia típica de los geeks, el mensaje era diáfano: acusaba a los 
usuarios de robarle. 

Los aficionados, geeks y hackers —o crackers, como se los llamaría más 
tarde— discrepaban. Desde su punto de vista, una vez publicado el «código», 
todo vale. Desde la Costa Oeste hasta el MIT, en Cambridge, Massachusetts, 
algunos de los más importantes desarrolladores informáticos, así como 
algunos usuarios de primera hora, se vieron infectados por una fuerte dosis de 
ideología «cumbayá» que defendía que la tecnología estaba hecha para unir al 
mundo y que existían motivos (no concretados) para no someterla a las 
normas de propiedad intelectual aplicadas tradicionalmente a los libros, la 
música y otros productos creativos. 

La razón era evidente: tiempo atrás, el público era incapaz de imprimir 
ejemplares sin licencia de un libro o de producir vinilos pirata de un álbum, 
pues carecía de la maquinaria necesaria para ello. Y si la poseía, se trataba de 
equipos pesados y fijos, por lo que la policía no tenía problemas en 
confiscarlos en nombre de la propiedad intelectual. 
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Los códigos y los programas eran harina de otro costal. Una vez 
desterradas las cintas de casete que a comienzos de la década de 1980 
contenían los primeros juegos de ordenador de uso doméstico, los códigos 
empezaron a inscribirse en disquetes, CD, DVD y discos duros de tamaño 
cada vez más reducido. Fue entonces cuando el imperio de los productores de 
software comercial ensayó su primer contraataque insertando partes de código 
adicional en sus productos con el fin de evitar copias no autorizadas de su 
material. Muchos CD y cintas de casete llevaban incorporado ese cerrojo 
digital. 

Era un movimiento comprensible, pero acabó volviéndose en su contra. 
En 1982, otro adolescente alemán, que más tarde adoptaría el enigmático 
apodo de MiCe!, convenció a sus padres —contra la sensata opinión de estos 
— de que le comprasen un ordenador por Navidad. Como el desembolso era 
considerable, se negaron a darle un solo céntimo más para juegos, ignorando 
que, sin programas —por entonces venían en cintas de casete—, el ordenador 
no servía para nada. 

El muchacho llegó a la conclusión de que solo había una manera de sacar 
partido al ordenador: haciendo copias de los programas de sus amigos. Hasta 
que un día dio con una cinta que no se copiaba. Lo probó por todos los 
medios imaginables, pero el ordenador siempre se acababa colgando. Tras 
días y noches de frustración, identificó en un punto concreto de la cinta un 
fragmento de código sin función aparente. De pronto lo vio claro: ¡eso era lo 
que bloqueaba el proceso! MiCe! empezó a experimentar reescribiendo el 
código en diferentes secuencias, hasta que una noche —¡bingo!— consiguió 
romperlo. 

Los jugadores de primera hora como MiCe! fueron quienes empezaron a 
romper los cerrojos, pero no por ganar dinero, sino por su adicción a los 
juegos. Las copias circulaban de mano en mano, y así nació la Escena. 

Por entonces se trataba todavía de un proceso largo y laborioso, pues 
requería copiar físicamente el código en una nueva cinta. Pero los aficionados 
a los juegos recogieron encantados el guante arrojado por los productores de 
software y, al poco tiempo, empezó a florecer una importante subcultura de 
grupos crackers. El único objetivo de sus miembros era piratear juegos y 
otros programas en cuanto salían al mercado para poder presumir de sus 
habilidades delante de sus colegas. 

Había nacido el submundo cibernético. Pronto empezaría a fragmentarse 
en distintas comunidades; algunas buenas, otras malas. 
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CAMINO SIN RETORNO 


Casi dos décadas después de que MiCe! pirateara su primera cinta de casete, 
el joven Matrix se enfrentaba al mismo dilema. Era adicto a los videojuegos, 
pero no podía permitírselos. El problema era el mismo, pero la tecnología 
había avanzado hasta extremos inconcebibles. Los juegos tenían unos gráficos 
de una sofisticación impresionante, guiones intrincados y retos de una 
dificultad endiablada. 

En muchos casos, la obsesión de los jugadores había sufrido un aumento 
paralelo. Las cintas y los disquetes ya eran piezas de museo, y los CD-Rom, 
los DVD y los lápices de memoria (que ni siquiera se habían inventado) 
pronto quedarían también obsoletos. Cada vez había más juegos que existían 
simplemente como códigos en la red, pero los equipos domésticos no tenían 
capacidad para almacenar muchos. Además, era la época de los módems de 
línea conmutada, cuando conectarse a internet significaba mantener ocupada 
la línea telefónica durante horas. Claro que algunos sabían cómo acceder 
desde su ordenador personal a otro mucho más potente, donde podían 
almacenar y compartir todos los juegos que quisieran... 

El acrónimo fXp significa protocolo de intercambio de archivos (file 
exchange protocol), pero basta con saber que los fXp son lo que permite 
transferir datos entre equipos a gran velocidad. Su mayor utilidad es el 
intercambio de datos entre servidores. Importa aclarar aquí que un servidor no 
es más que un ordenador adaptado para hacer las veces de nodo de 
comunicaciones. Así, por ejemplo, una gran compañía dispondrá de su propio 
servidor para proporcionar acceso a internet a sus empleados. Muchos 
servidores son tan grandes y potentes que no dependen de las líneas 
telefónicas para acceder a la red. 

Los paneles de mensajes de fXp congregaron a una fraternidad de 
usuarios aficionados a piratear servidores con el fin de utilizarlos para 
almacenar videojuegos y jugar con ellos. Matrix aprendía rápido y, al poco 
tiempo, su ordenador ya escaneaba la red en busca de servidores. 
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A través de un programa automático, su equipo esparcía por la red miles 
de mensajes programados para llamar a la puerta de multitud servidores de 
cualquier lugar del mundo. Cuando el servidor respondía, el ordenador de 
Matrix preguntaba: «¿Puedo entrar?». Entonces, la mayoría de los servidores 
le contestaban: «¿Cuál es la contraseña?». El caso es que se las arregló para 
encontrar un número suficiente de servidores cuyos administradores no se 
habían molestado en introducir una contraseña, en cuyo caso el servidor le 
respondía al equipo de Matrix: «Por supuesto, adelante. ¡Haz lo que quieras 
conmigo, chico malo!». 

Matrix sentía un profundo desprecio por los administradores que dejaban 
sus equipos indefensos. Cualquiera podía entrar en ellos y robar los datos de 
una compañía. Para él, era lo mismo que dejar una billetera rebosante de 
dinero en pleno centro comercial y marcharse. 

También había servidores cuya contraseña podía adivinarse sin dificultad, 
como los que conservaban la que venía de fábrica, por lo común palabras 
como «admin» o —la más lacerantemente estúpida de todas las contraseñas— 
«password». 

Otros ordenadores tenían fallas en su sistema de seguridad (por ejemplo, 
un «puerto» o punto de entrada poco utilizado que no requiriese contraseña) 
susceptibles de ser utilizadas para acceder al servidor. A la mayoría de los 
usuarios, todo eso les sonaba a chino, pero para Matrix era pan comido y, 
además, en media hora podía enseñarle a cualquiera cómo se hacía. 

Lo primero que Matrix tenía que hacer cuando conseguía controlar el 
servidor era reparar los puntos débiles de los que él mismo se había servido: 
debía asegurarse de que nadie más pudiera atacar por la misma vía. 

Una vez dentro de un servidor, tenía poder sobre él. Si lo deseaba, podía 
leer el correo y el tráfico de datos entrantes y salientes. Pero su objetivo era 
otro: él lo que quería era utilizar los servidores para recibir, almacenar y 
distribuir juegos mediante la tecnología fXp. 

Matrix solo tenía quince años, pero sabía cómo entrar y salir de muchas 
zonas de internet que la mayoría de los adultos ni siquiera saben que existen. 
Sus padres no tenían ni idea del mundo secreto que su hijo exploraba desde su 
cuarto y era improbable que llegaran a descubrirlo. Descargar juegos y 
programas constituía una ilegalidad flagrante y vulneraba las leyes de 
propiedad intelectual, pero por entonces era una práctica restringida a un 
número muy reducido de usuarios. Para los productores representaba una 
molestia, pero no un problema grave. La inmensa mayoría de los juegos se 
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adquirían de forma absolutamente legal en las tiendas o en webs como 
Amazon. 

Matrix ocultaba a sus padres lo que hacía no por miedo a infringir las 
leyes de propiedad intelectual, sino porque, para un adolescente, la maravilla 
de internet es que sus padres nunca tienen (ni en muchos casos pueden tener) 
la más remota idea de lo que hace su hijo. Bastante tenían los padres con 
vigilar qué DVD entraban o salían de casa. Pero los DVD por lo menos eran 
objetos físicos que un progenitor podía confiscar si, pongamos un ejemplo, 
sorprendía a su hijo de trece años viendo una película x (a riesgo, por 
supuesto, de provocarle un incómodo berrinche). 

Con internet cambió todo. Los niños empezaron a crecer en un entorno 
cibernético que para ellos resultaba normal y autosuficiente, pero que los 
padres veían como algo cada vez más incomprensible y peligroso. Los 
adolescentes se daban perfecta cuenta de que sus padres, en ese medio, se 
movían a la deriva. Eso, a su vez, consolidó la idea de que la red era una 
parcela de sus vidas de la que sus padres podían ser proscritos con toda 
legitimidad. ¿Cuántos padres y madres han entrado en la habitación de sus 
hijos y han visto cómo estos minimizaban la ventana del navegador a la vez 
que se les sonrojaban las mejillas? Basta que un padre eche un vistazo al 
perfil de Facebook de su hijo cuando este se conecta desde el salón de casa 
para que el muchacho se transforme en un activista por los derechos humanos 
y acuse al atribulado progenitor de actuar como un agente de la Gestapo. 

Lo que muchos niños y adolescentes no sabían era que, aunque a sus 
padres pudieran pegársela, había mucha gente —cada vez más— a la que no 
era tan fácil tomarle el pelo. Entre ellos, acosadores, publicistas, chantajistas, 
pederastas, policías, profesores y criminales. Solo los usuarios más 
sofisticados consiguen ocultar a qué se dedican en la red. 

A diferencia de los sufridos padres, esas otras personas pertrechadas con 
un mínimo de conocimientos informáticos empezaban a seguir las huellas 
digitales que niños y adolescentes habían ido dejando con el paso del tiempo. 
Tras de sí dejaban confesiones en las que admitían haber tomado drogas y 
alcohol, insultado a profesores, acosado a compañeros de clase y, cada vez 
más a menudo, fotografías de sí mismos en actitud pornográfica. Quizá sus 
padres no supieran nada al respecto, pero otras personas sí estaban al 
corriente. A veces, incluso un chico listo como Matrix podía pecar de 
confiado. 

Matrix no infringía ninguna ley por el hecho de apropiarse de servidores 
mal protegidos y destinarlos al almacenaje y uso de videojuegos. A finales del 


www.lectulandia.com - Página 82 


pasado siglo, Alemania no tipificaba tal cosa como delito, y la cuestión de la 
propiedad intelectual en la era digital seguía envuelta en brumas, a pesar de 
que muchos adolescentes y jóvenes adultos empezaban ya a compartir 
archivos de música a través de Audiogalaxy y Napster. Estas webs redirigían 
al usuario que quisiera descargarse, por ejemplo, «Bohemian Rhapsody» de 
Queen hacia ordenadores de cualquier lugar del mundo que tuvieran 
almacenada la canción. Usando la web como puente, el usuario podía 
descargarse una copia en su propio equipo. 

En un brevísimo espacio de tiempo, millones de personas dieron por 
hecho que ya no había por qué volver a comprar grabaciones musicales: ¡todo 
podía encontrarse gratis! Si para el sector de los videojuegos compartir 
archivos no representaba más que una molestia, para la industria musical se 
convirtió en todo un desafío. Para atajar el problema, los juristas tenían que 
redefinir el concepto de propiedad intelectual en la era digital; a continuación, 
había que persuadir a los legisladores para que promulgasen leyes en ese 
sentido; por último, había que convencer a las fuerzas del orden de que la 
detención de piratas digitales era responsabilidad suya. Además, el sector de 
la música se vio obligado a desarrollar nuevos dispositivos anticopia (empeño 
en el que han fracasado de forma rotunda una y otra vez). 

La costumbre de compartir archivos de música, ligeros y fáciles de 
transferir entre equipos, se extendió como un reguero de pólvora. Las ventas 
de música en Estados Unidos alcanzaron su cénit en 1999 con catorce mil 
millones de dólares; al año siguiente, empezaron a caer, y desde entonces se 
ha mantenido esa tónica. 

Paralelamente, la descarga no autorizada de juegos, cuya extensión es 
mucho mayor, no repercutió apenas en las ventas de CD-Rom y DVD, que 
siguieron aumentando de año en año. Las descargas, en todo caso, ayudaron a 
dar publicidad a los juegos. Con los datos en la mano, lo peor que puede 
decirse de la actividad cibernética de Matrix es que le quitó horas de sueño y 
tiempo para hacer los deberes. 

Fue entonces cuando Matrix, sin apenas darse cuenta, dio un pequeño 
paso adelante en la espiral delictiva. 

La industria publicitaria había descubierto internet y, como todo el 
mundo, intentaba averiguar cómo sacarle el máximo partido. La red ofrecía 
claras ventajas a los publicistas: en primer lugar, permitía identificar al 
público potencial con mucha mayor precisión. Si una empresa quiere vender 
pañales, lo que tiene que hacer es olvidarse de las páginas sobre paracaidismo 
y concentrarse en los foros para padres jóvenes. Si una empresa paga por 
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anunciarse en televisión, radio o vallas publicitarias, su mensaje llega también 
a los paracaidistas, cosa que no tiene mucho sentido (a no ser, claro, que el 
paracaidista en cuestión acabe de ser padre). 

En segundo lugar, internet permite calibrar el éxito y el coste de la 
publicidad. Cada vez que un padre o madre hace clic en el anuncio de 
pañales, queda registrado en los archivos del fabricante y de la empresa de 
publicidad. La empresa, pues, recibe una remuneración en función del número 
de clics. Productores y publicistas pueden analizar el llamado ratio de clics 
(CTR, por sus siglas en inglés) para que el fabricante de pañales pueda 
comprobar que, de cada cien visitantes de la página de paracaidismo, ni uno 
solo se interesó por el anuncio, que en cambio fue visitado por diez de cada 
cien visitantes en el foro de padres, lo que da como resultado un CTR del diez 
por ciento y permite que la empresa publicitaria sea remunerada de forma 
acorde. El problema fue que en poco tiempo el CTR dio paso al fraude de 
clics. 

El administrador de uno de los foros frecuentados por Matrix estaba 
implicado en un caso de estafa. El administrador animó a Matrix a utilizar los 
servidores bajo su control para instalar un programa que, de forma 
automática, hacía clic a intervalos en determinados anuncios. Con cada clic, 
ganaba un centavo. El muchacho ni siquiera sabía que eso era ilegal. Luego el 
administrador le aconsejó consultar otro foro donde se discutían temas 
parecidos, y fue en ese foro, Carder Planet, donde por primera vez oyó hablar 
del fraude con tarjetas de crédito. 

Matrix atravesó el Rubicón en estado de trance, sin darse cuenta de que a 
su alrededor las aguas formaban remolinos. Todavía era un chiquillo, pero 
poco a poco iba hundiéndose en el tremedal de la delincuencia. Es posible 
que, en su interior, algo le dijera que aquel era un mal camino, pero en el 
ciberespacio las fronteras son borrosas, cuando no invisibles. 
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PASAJE A LA INDIA 


Chennai, Tamil Nadu, 2001 


En 2001, Renu llevaba nueve años sin ver a sus padres y hermanos. A veces, 
hasta los jóvenes que como Renu han aprendido a sobrevivir con vínculos 
familiares más bien débiles se sienten obligados a atender los ruegos de una 
madre. "Tras mucho discutir, le prometió que conseguiría el dinero necesario 
para volar a Tamil Nadu, en el sur de la India, y visitar a la familia. 

Pero reunir el dinero no era fácil. Durante su época de estudiante en la 
Universidad de Westminster, Renu había trabajado como repartidor en Pizza 
Hut. Trabajaba hasta las doce o la una de la noche y tenía que madrugar para 
asistir a la primera clase de la mañana (aunque con el tiempo su puntualidad 
fue disminuyendo). Gracias al trabajo, por primera vez en su vida disponía de 
algo de dinero, pero no bastaba para ahorrar: lo poco que le sobraba lo 
gastaba en su adicción a las drogas. Por entonces consumía cocaína y poco 
después se pasaría al devastador crac. 

Al ver que no podía reunir la cantidad necesaria, Renu pidió prestado a 
sus amigos y, por seguridad, antes de emprender el largo vuelo hasta Chennai, 
adquirió tres mil libras en cheques de viaje de American Express. 

Nadie sabía muy bien qué esperar de aquel encuentro: se había separado 
de su madre en su infancia, y ahora era un joven adulto con una vida marcada 
por periodos de intensa soledad. Su vida social había mejorado desde los años 
de instituto, pero le costaba mantener conversaciones de circunstancias O dar 
grandes muestras de emoción. Además, a pesar de su juventud, su pasado 
empezaba a componerse a base de retazos. Había muchas cosas que no estaba 
dispuesto a compartir con su familia. 

El viaje empezó con mal pie. En Chennai tenía que tomar uno de los 
atestados e incómodos autobuses que cubren las rutas rurales, lo que suponía 
compartir espacio con demasiadas personas, aparte de gallinas y equipajes. 
Estaban a medio camino y los ojos empezaban a cerrársele por el largo viaje 
desde Londres cuando un leve golpe lo hizo despertar un instante. En ese 
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momento no le dio mayor importancia, pero la alegría del reencuentro con la 
madre quedó empañada al bajar del autobús y descubrir que le habían rajado 
la bolsa y que las tres mil libras en cheques de viaje habían volado. 

Lo peor estaba por llegar. Cuando se presentó en las oficinas de American 
Express en Chennai, el personal se negó a reembolsarle el dinero. (A su 
entender, ese era el sentido de preferir los cheques al metálico). Si quería otro 
talonario, tendría que presentar una confirmación escrita de la policía local de 
que el talonario le había sido robado. Aun así, le advirtieron, Amex no 
garantizaba la devolución del dinero, sino que se lo abonaría «a su 
discreción». 

Ya en Inglaterra, los burócratas de Amex lo recibieron con el mismo 
ademán impasible. Se empeñaban en que Renu no había aportado la 
documentación requerida para demostrar que los cheques habían sido robados 
o perdidos. Por consiguiente, no podían devolvérselos. 

Las personas que le habían prestado dinero eran amigas, pero hasta un 
punto. Se hacían cargo de la situación de Renu, pero querían su dinero. La 
única manera de devolverlo era hacerse con una tarjeta de crédito; después de 
todo, vivían en la era del plástico y los bancos y las compañías de crédito 
estaban dispuestos a aceptar a todo el mundo como cliente, hasta a Renu. 

El tedioso trabajo en Pizza Hut no daba para cubrir sus crecientes 
necesidades económicas: la deuda, la bebida, las drogas, los gastos de la 
universidad, el alquiler. El mundo de Renu empezaba a desmoronarse. Lo 
primero que se resintió fueron las tareas de la facultad. "Tras superar los 
exámenes del primer año en el campus de Harrow de la Universidad de 
Westminster, Renu empezó a faltar a clase. Suspendió los exámenes del 
segundo año, y también las recuperaciones. 

Para evadirse de su desesperación, empezó a descargar compulsivamente 
canciones por Napster, y poco después descubrió las webs donde los 
miembros de la Escena compartían los juegos y programas que ellos mismos 
pirateaban. Las noches eran cada vez más largas y Renu las dejaba pasar 
sumergido en el mundo seguro y distante de la pantalla luminosa, lejos de los 
zarpazos de la dura realidad. 

Una noche, le explicó la historia de los cheques perdidos a uno de los 
muchos navegantes itinerantes que conocía por la red y el canal de IRC. 
«Pásate por amexsux.com —le dijo el contacto—. ¡Por lo menos, te sentirás 
mejor!». 

A Renu le encantó la web (lema: «Sal de casa sin ella»). En ella, los 
antiguos clientes de American Express se desahogaban denunciando 
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supuestos abusos. La animadversión hacia la compañía está bastante 
generalizada, como puede comprobarse haciendo una búsqueda en Google: 
existen cientos de páginas dedicadas a despotricar contra Amex, muchas de 
ellas con profusas listas de enlaces a noticias negativas sobre la empresa. 

Uno de los participantes había colgado en el panel de mensajes una 
propuesta abierta a todo el que tuviera motivos de queja contra la compañía: 
«¡Véngate! ¡Visita CarderPlanet.com!». 

Nada más zarpar con rumbo a Carder Planet, Renu sintió que había 
llegado el momento de decir adiós a su vieja personalidad. Fue así como se 
convirtió en JiLsi y se puso como avatar la cara de un pirata gamberro de 
dibujos animados con sombrero rojo y parche negro en el ojo izquierdo. Cual 
Jack Sparrow en pleno Caribe cibernético, Renu no tardó en sentirse a gusto 
entre aquel infame grupo de hackers, crackers y estafadores, y enseguida 
decidió fondear en Carder Planet. Por algún lugar de aquel grupo de 
inadaptados merodeaba Matrix, y, aunque todavía faltaban unos cuantos 
meses para que se profesaran voto de amistad virtual, ambos se convirtieron 
en dos nombres habituales en los millares de páginas que trataban de emular a 
Carder Planet. 

¿Dónde se ha visto a un refugiado drogadicto de Sri Lanka 
confraternizando con un recatado adolescente alemán de clase media gracias a 
la hospitalidad de un carismático odesita con una visión propia de la nueva 
Ucrania? ¿Dónde sino en la red? 


www.lectulandia.com - Página 87 


13 


AL ROJO VIVO 


Nueva York, 2003-2004 


RedBrigade decidió que había llegado el momento de ir a por Washington 
Mutual: para él, no era más que un proveedor de dinero gratuito. El banco 
había perdido su condición de cooperativa de ahorro en 1983 y ahora su 
consejero delegado anunciaba su intención de convertir la venerable 
institución de Seattle en «el Wal-Mart de los bancos». La filosofía de la 
dirección era arramblar con todo lo posible: vender préstamos sin preocuparse 
por los activos, los pasivos ni el sueldo de los clientes; juntar las hipotecas 
basura en paquetes para moverlas mejor; invertir lo mínimo imprescindible en 
equipo y personal. Una banca de bajo coste; lujos, los justos. Por suerte para 
RedBrigade y sus colegas, la partida de gastos no incluía ni siquiera las 
medidas de seguridad más elementales. 

RedBrigade salió del hotel Four Seasons en la calle 57 cerca de la Quinta 
Avenida hacia las once de la mañana. Todavía estaba algo aturdido por la 
fiesta de la noche anterior, pero a fin de cuentas había consumido champán 
añejo y cocaína casi pura, así que se sentía en plenas condiciones para entrar 
en combate. 

Y a en la sucursal, se acercó a una de las inexpertas cajeras («así no tienen 
que pagarles tanto») y le extendió su tarjeta de débito. 

«¿Cuánto desea hoy, señor?». 

«Diez mil, por favor». 

«¡Marchando!». 

Tac-tac-tac, tac-tac-tac. Para sacar dinero en Washington Mutual, 
RedBrigade tenía que entregar su tarjeta a la cajera para que esta la deslizara 
por un lector. En cualquier otro banco, tal vez el empleado habría visto 
entonces un mensaje en código advirtiéndole de que había saltado la alarma y 
RedBrigade habría tenido que descifrar la expresión del rostro de la cajera: 
¿Me habrá descubierto? ¿Salgo corriendo? ¿Me quedo aquí como un idiota y 
espero a que llegue la policía? Quizá no pasa nada, ¿estaré paranoico? 
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Pero en Washington Mutual no. Por pura avaricia, la directiva creía que 
podía pasarse sin pantallas de ordenador ni mensajes de seguridad 
codificados. Así pues, si la sucursal rechazaba la tarjeta, RedBrigade se 
limitaría a poner cara de sorpresa, disculparse y desaparecer. En Washington 
Mutual nunca se llamaba a la policía. 

Pero sus tarjetas nunca fueron rechazadas. Aquel día de diciembre de 
2003, la mujer deslizó la tarjeta, la operación fue aprobada al instante y, a 
continuación, le hizo firmar un recibo con el código de la transacción. Luego 
él se dirigió al cajero automático situado en la parte delantera del banco e 
introdujo el código. Un momento de espera y, acto seguido, como si de una 
tragaperras mágica de Las Vegas se tratase, empezaron a llover billetes de 
cincuenta dólares: mil, dos mil, tres mil... RedBrigade recogió los doscientos 
billetes todavía frescos y se los enfundó en el bolsillo. 

A veces era como si los bancos hubieran dejado los cajeros automáticos 
abiertos a propósito para él y sus colegas. Era tan fácil que parecían los 
elegidos. Él disfrutaba sobre todo exprimiendo los cajeros de Citibank. Si un 
banco se lo merecía, ese era el Citi. En primer lugar, era el más inmoral de 
todos aquellos bancos espurios. En segundo lugar, sus medidas de seguridad 
eran penosas. 

El phishing fue, desde buen principio, una estrategia crucial en todas las 
ramas de la delincuencia informática. Por rígidas que fuesen las defensas 
digitales de una compañía, cualquier hacker con un mínimo de experiencia 
podía burlarlas si atacaba por la vía del phishing. El asunto consiste en 
realizar un envío masivo de correos electrónicos a direcciones pertenecientes 
a una determinada empresa —por ejemplo, un banco— o, en ocasiones, al 
azar. A menudo, los correos basura contienen archivos adjuntos infectados o 
enlaces que, al hacer clic en ellos, redirigen a webs desde las que se descarga 
malware. Si un hacker envía varios millones de correos basura, basta con que 
le respondan a unos pocos para que la operación tenga éxito; los ordenadores 
infectados le permiten acceder a cuentas bancarias y demás información de 
tipo personal o financiero. 

La seguridad de los bancos siempre ha tenido un gran enemigo: sus 
clientes (aunque esto no es excusa para justificar los pésimos sistemas de 
seguridad empleados por los bancos durante los primeros quince años de 
banca electrónica). Los mejores sistemas pueden hacer aguas por culpa de una 
sola pieza, y nosotros, los cientos de millones de usuarios, somos esa pieza. 

Así pues, cuando un banco es inexpugnable, el ciberladrón recurre a los 
clientes en busca de ayuda. Envía a los titulares de las cuentas millones de 
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correos electrónicos que parecen remitidos por el banco y espera a que 
respondan: al poco tiempo, recibe una avalancha de números de cuenta y 
contraseñas. 

Estafar a los clientes de Citibank era un juego de niños: 


Comprar direcciones de correo recién pirateadas. Hecho. 
Comprar Dark Mailer, el sueño de todo spammer. Hecho. 
Comprar proxies. Hecho. 

Comprar alojamiento. Hecho. 

Diseñar una nueva página de Citibank. Hecho. 

Añadir una ventana que no desaparezca hasta que se 
introduzca el número de tarjeta y el PIN correspondiente. 
Hecho. 

Crear una dirección de correo electrónico para recibir 
números de cuenta y contraseñas. Hecho. 


RedBrigade dedicaba unas horas cada día a su labor. Estudiaba los detalles de 
cierta doctora H. M. Hebeurt del norte del estado de Nueva York. «Hmm... 
Vive cerca. ¡La hostia, gana cincuenta mil al mes y el marido, más de setenta 
y dos mil!». Investigando un poco más, descubría que su objetivo trabajaba en 
Wall Street. Tal vez, pensaba, si su vida hubiera seguido otros derroteros, 
podría dedicarse a robar de forma legal, como ese tipo... Pero no había 
tiempo para fantasías, tenía que hacer cálculos. Veamos: dos cuentas 
corrientes, dos cuentas de ahorro, una cuenta de descubierto y una tarjeta de 
crédito... dos mil dólares de cada una. Total, doce mil dólares de un plumazo. 

Cada día llegaban a su bandeja quince mensajes como ese. 

Las visitas al Washington Mutual de Nueva York se repitieron durante 
algo más de quince días y generaron casi trescientos mil dólares. No era tanto, 
teniendo en cuenta que sus gastos semanales eran del orden de los setenta mil. 
Cada dos o tres meses, compraba un Mercedes o un BMW nuevo de alta 
gama. Viajaba siempre en primera. Compraba relojes Breitling de diez mil 
dólares como quien compra el periódico. Disponía de un apartamento 
formidable en el Upper East Side, pero solo pasaba en él dos o tres noches por 
semana porque prefería los hoteles de lujo de la ciudad. RedBrigade ganaba 
más dinero que una estrella del fútbol en Inglaterra, y además sin impuestos 
del 50 por ciento. 

No había nada que no pudiera permitirse. Cada vez que sacaba sus fajos 
de billetes de cincuenta, se quedaba mirando la cara de los dependientes, que 
debían de preguntarse quién era. Debían de tomarlo por un hippy de familia 
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bien o por un traficante. De todos modos, los multimillonarios de la era del 
plástico se dejaban ver tanto en vaqueros y camiseta como con un traje Savile 
Row. Sea como fuere, los vendedores — joyeros, encargados de 
concesionarios, vinateros, hoteleros— siempre aceptaban su dinero sin hacer 
preguntas. Nunca se sabe: ¿y si ese tipo con las mejillas sin afeitar trabajaba 
en Google? Además, ¿qué más daba cómo hubiera ganado ese dinero? 

Solo había un problema: tenía demasiado dinero en metálico. Una tarde 
llegó a casa con setenta y siete mil dólares en el bolsillo, a sumar a los 
trescientos mil que ya había en el apartamento. Aparte, tenía otros ciento diez 
mil en giros postales. RedBrigade había organizado un operativo global para 
retirar dinero: él enviaba las tarjetas y los datos de las cuentas a un 
intermediario de Europa del Este, y este vaciaba los cajeros automáticos para 
mandarle el dinero. Después tenía que volver a ingresarlo, y ya estaba harto 
de las directivas de notificación, según las cuales cualquier transacción 
superior a diez mil dólares debe ser comunicada al Tesoro en cumplimiento 
de la legislación contra el blanqueo de capitales. «¡Mierda ——pensaba—, 
quién podía imaginar que iba a ser tan difícil gastar el dinero!». 

Estaba a punto de ir a retirar otros setenta y siete mil dólares. No tenía 
más que caminar unas cuantas manzanas desde su apartamento, pero entonces 
pensó: «Ya tengo muchísimo dinero encima, paso». Sabía que algo no debía 
de ir bien. Una idea se repetía en su cabeza: «Carder Planet no está mal, pero 
Shadow Crew es la leche. ¿Quién iba a creer que podría presentarme día sí y 
día no en el banco y salir con cincuenta de los grandes en el bolsillo? ¡Es de 
locos!». 

Cuando Carder Planet cerró por fin sus puertas en 2004, podía presumir 
no solo de alojar foros en ruso y en inglés, sino también secciones en coreano, 
chino e incluso árabe. «Carder Planet cambió las reglas del juego —asegura 
E. J. Hilbert, un antiguo agente especial del FBI que dedicó varios años a 
investigar la web—. Sus sucesores la tomaron como modelo. No es ninguna 
exageración decir que difundió la delincuencia hacker hasta el último rincón 
del planeta». 

Por todas partes empezaron a brotar páginas a imagen y semejanza de 
Carder — Planet: Theftservices.com, Darknet.com, Thegrifters.net, 
Scandinaviancarding.com. Había muchas otras, incluida una bautizada con un 
simpático acrónimo a modo de parodia de las comunidades académicas 
norteamericanas: la IAACA (siglas en inglés de la Asociación Internacional 
para el Progreso de la Actividad Criminal). 
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Sin embargo, ninguna cosechó tanto éxito como Shadow Crew durante 
sus dos años de existencia. RedBrigade fue uno de los muchos tarjeteros que 
hicieron su agosto con ella. Las fuerzas de la ley empezaban apenas a 
vislumbrar la magnitud del negocio; los bancos la desconocían; el ciudadano 
de a pie ni siquiera imaginaba su existencia. 

Los hackers estaba muy adelantados y la avaricia reinaba en todas partes: 
gestores de fondos de inversión libre, oligarcas, jeques del petróleo, magnates 
de la telefonía móvil latinoamericana, la nueva élite negra sudafricana, la 
antigua élite blanca sudafricana, fabricantes chinos de bibelots globales, gurús 
tecnológicos trasladados de Bangalore a Silicon Valley. 

Cientos de tarjeteros amasaron grandes fortunas con Shadow Crew, pero 
la ingenuidad de muchos los llevó a despilfarrarlas en lujos de nuevo rico. En 
aquellos tiempos, nadie registraba la dirección IP de un equipo al realizar 
transacciones en la red. "Tampoco existían los sistemas de verificación de 
direcciones de las tarjetas de crédito: independientemente de en qué país se 
hubiera emitido la tarjeta, cualquiera podía comprar productos en cualquier 
parte del mundo (excepto en Rusia y otros países exsoviéticos) sin miedo a 
que nadie cruzara los datos en ningún momento. 

Esta nueva modalidad de delincuencia arraigó con fuerza más allá de la 
cuna rusoucraniana. Su globalización fue espontánea. RedBrigade recuerda 
cómo delincuentes asiáticos de renombre empezaron a entrar en contacto con 
universitarios de Massachusetts que, a su vez, mantenían relación con 
europeos del Este, cuyos ordenadores rebosaban datos de tarjetas de crédito. 
Detrás de algunos de los alias de Shadow Crew se escondían grupos 
criminales como All Seeing Phantom, muy respetado en su entorno. 

RedBrigade, diez años mayor que casi todos los miembros de Shadow 
Crew, no le encontraba sentido a intentar escalar puestos en la jerarquía para 
granjearse el reconocimiento y el respeto de sus colegas. No entendía por qué 
la mayoría de los miembros mostraban aquel temor reverencial hacia los 
moderadores y los administradores de los foros. Por grande que fuera su 
éxito, los administradores de Shadow Crew tenían comportamientos 
inmaduros, Casi infantiles, lo cual no es de extrañar si se piensa que la 
mayoría rondaban la veintena. RedBrigade era consciente de que Carder 
Planet había sido creada y desarrollada por delincuentes de verdad, en tanto 
que muchos de los integrantes de Shadow Crew no eran más que diletantes 
que engordaban su infinita vanidad a base de las formidables sumas de dinero 
que ganaban. 
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Cuanto más equidistante se mantuviera de esos individuos, menor sería el 
riesgo de ser identificado por las fuerzas del orden. A excepción de una 
minoría, los miembros de Shadow Crew ignoraban que el Servicio Secreto 
había conseguido penetrar muy hondo en la web. 

En abril de 2003, había sido detenido Albert Gonzalez, un joven 
estadounidense de origen cubano y uno de los miembros más veteranos de 
Shadow Crew. Entre los tarjeteros se lo conocía como CumbaJohnny. Lo que 
nadie sabía era que tras su arresto se había convertido en confidente, y gracias 
a él el Servicio Secreto hizo grandes progresos. Gonzalez dirigía una red 
privada virtual (RPV) a través de la cual se comunicaban los pesos pesados de 
la página. Si una RPV se mantiene de forma adecuada, es muy difícil, si no 
imposible, que la policía llegue a detectarla; a menos, claro, que el 
administrador de administradores esté a la vez al servicio de la policía, como 
en el caso de Gonzalez. 

El 26 de octubre de 2004, el Servicio Secreto estadounidense llevó a cabo 
una serie de redadas por todo el país que se saldaron con el arresto y posterior 
procesamiento de diecinueve personas por su implicación en 
Shadowcrew.com. Con el tiempo, aumentaría el número de detenidos. 

«Shadow Crew —se lee en el auto de procesamiento por conspiración— 
era una organización internacional de aproximadamente cuatro mil miembros 
que promovía y facilitaba una amplia variedad de actividades criminales». El 
joven equipo de ciberpolicías del Servicio Secreto había cobrado una buena 
pieza. La acusación, presentada ante el tribunal del distrito de Nueva Jersey, 
era muy explícita: «Los administradores —continúa— controlaban de forma 
colectiva la dirección de la organización y decidían sobre su funcionamiento 
cotidiano, así como sobre los planes para su viabilidad a largo plazo [...]. Los 
administradores gozaban de acceso sin restricciones a los servidores 
informáticos donde se alojaba la web de Shadow Crew y, por consiguiente, 
eran los responsables últimos de la administración física, el mantenimiento y 
la seguridad de dichos servidores, así como del contenido del sitio web». 

Los medios se volcaron exaltados en la noticia de la desarticulación de 
Shadow Crew. Incluso llegaron a sugerir que la operación equivalía, en el 
mundo virtual, a la caída del clan de los Corleone en Sicilia. La cobertura fue 
tan vasta en parte porque una de las acusadas era una mujer, Karin Andersson, 
alias Kafka, aunque lo que el Servicio Secreto no sabía era que, en realidad, el 
delincuente era su novio, que utilizaba el ordenador y la dirección IP de la 
muchacha para cometer sus fechorías. Nada extraordinario, si se considera 
que el 96 por ciento de los hackers son hombres. 
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Las detenciones, sin duda, tenían fundamento. Pero ¿eran los 
«administradores» quienes ganaban dinero con Shadow Crew? En realidad 
no, si bien es cierto que entre ellos se contaban algunos de los llamados 
«monetizadores» (el primero, Gonzalez, quien, a pesar de su estrecha 
vinculación con el Servicio Secreto, terminaría cometiendo una estafa aún 
mayor al apropiarse de la base de datos de tarjetas de crédito de T. J. Maxx). 

La policía se enfrentaba a un problema que se convertiría en recurrente: 
los hackers no eran delincuentes ordinarios. Es cierto que los auténticos 
delincuentes se sirven de sus habilidades para cometer delitos reales contra 
personas de verdad. Pero los hackers a menudo pasan por alto esa faceta de su 
actividad. Son los «lobos solitarios» de Script, personas a quienes, a menudo, 
lo que les interesa no es amasar fortunas, sino distinguirse como maestros 
dentro de su grupo de colegas. «Hay que entender —explica JiLsi al recordar 
su época de tarjetero— que todo aquello era un juego. Era como jugar al 
Grand Theft Auto, solo que las consecuencias eran reales. Los policías a los 
que nos enfrentábamos eran personas de carne y hueso. ¡Eso lo hacía mucho 
más emocionante! Es una cuestión de respeto. Es una cuestión de... —Pausa 
dramática de JiLsi— reputación». 

En un sentido, no obstante, la redada contra los miembros de Shadow 
Crew sí tuvo efectos equivalentes a los de la caída de una organización 
mafiosa en el mundo real: provocó un vacío de poder y desató una lucha sin 
cuartel por la supremacía entre la siguiente generación de tarjeteros, que se 
agruparon en torno a dos nuevas páginas webs aparecidas al año siguiente: 
Carders Market y Dark Market. 
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EL REPARTIDOR DE HIELO 


Santa Clara, California, octubre de 1998 


Max Vision se quedó de una pieza cuando vio aparecer a Chris y Mike, sus 
dos contactos de la sede del FBI en San Francisco, en la puerta de su casa de 
Santa Clara. No reconoció al hombre que iba con ellos, aunque más tarde 
supo que era el jefe de la división de crímenes informáticos del FBI. Pero 
aquella no era una visita de cortesía: «Vamos a presentar cargos contra ti, 
Max —dijeron—. Esta vez la has cagado». 

Sin saber muy bien qué decir, Vision les entregó su ordenador y todo lo 
demás; no quería dar la impresión de estar obstruyendo la justicia y, a la vez, 
no tenía muy claro cuál era el problema. 

Llevaba una vida correcta, ejemplar incluso. Después de una adolescencia 
difícil en lowa, se trasladó a una región donde la gente no se escandalizaba al 
cruzarse con un geek con las greñas recogidas en una cola de caballo. Nadie le 
dio tampoco la menor importancia al hecho de que cambiase su prosaico 
apellido, Butler, por el de Vision. Pronto se acostumbró a la vida indolente de 
la Costa Oeste y, para rematarlo, estaba profundamente enamorado de Kimi, 
su prometida. 

A sus veintiséis años, Max Vision era un genio de la seguridad 
informática y uno de los consultores más respetados y valorados del área de la 
bahía de San Francisco. Además, era un tipo con vocación cívica, creador de 
la página web Whitehats.com, destinada a ayudar a particulares y empresas a 
blindarse contra ataques cibernéticos. En ella, Vision informaba sobre las 
vulnerabilidades de ciertos programas de uso corriente y explicaba cómo 
parchearlas. 

Los hackers se relamen cuando encuentran vulnerabilidades, ya que 
representan su principal ruta de acceso a los equipos de terceros. Son como 
agujeros digitales en la armadura de los programas y los sistemas, vacíos que 
el fabricante no ha previsto. Cuando una compañía como Microsoft o Adobe 
descubre que un hacker ha penetrado en Windows o en una aplicación tan 
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omnipresente como el PDF Reader sirviéndose de una determinada 
vulnerabilidad, puede cerrarla o parchearla confeccionando los llamados 
ajustes de seguridad específicos. A continuación, la empresa avisa a sus 
clientes para que descarguen el parche y lo instalen, bloqueando así esa ruta 
de acceso al equipo del usuario. Si el usuario no instala la actualización, su 
ordenador seguirá siendo vulnerable a los virus que explotan ese defecto. 

Algunos superexpertos en seguridad, como Vision, son los primeros en 
identificar los puntos vulnerables y, como buenos samaritanos, ofrecen 
consejos prácticos a los usuarios para que puedan protegerse. 

Pero Vision fue todavía más allá en su altruismo; un buen día se puso en 
contacto con la sede del FBI de San Francisco para ofrecerles sus servicios de 
forma gratuita, a lo que los federales accedieron encantados. 

Para Max Vision, no había en la red desafío insuperable ni vulnerabilidad 
invisible. Pero, para descubrir esos flancos débiles, primero tenía que explorar 
a fondo los sistemas, y eso lo colocaba en el epicentro de un profundo dilema 
que no solo afectaba a la industria informática, sino que tenía importantes 
ramificaciones. A veces, para estar protegido contra los hackers perniciosos o 
«de sombrero negro», es necesario que un hacker «de sombrero blanco» 
aprenda a introducirse en los sistemas, lo que en sí mismo puede constituir 
una ilegalidad. 

Es poco menos que inevitable que los «sombreros blancos», al igual que 
los «sombreros negros», inspeccionen los grandes sistemas informáticos 
públicos. La diferencia reside en que los primeros no aprovecharán en 
beneficio propio las vulnerabilidades que encuentren; los segundos es 
probable que sí. 

Vision, que trabajaba desde la pequeña casa que compartía con Kimi, se 
dio cuenta de que, cuando daba con una anomalía o un problema, no podía 
resistir la tentación de corregirlo. En 1998 descubrió un peligroso defecto en 
las redes que prestaban servicio a varios organismos del gobierno, entre ellos 
parte del Pentágono. Aquello representaba un agujero en sus defensas a través 
del cual podían deslizarse todo tipo de temibles gusanos. Cualquier hacker de 
cualquier lugar del mundo con conocimientos suficientes podía poner en 
riesgo literalmente cientos de miles de ordenadores del gobierno. 
Demostrando una vez más su compromiso patriótico, Vision rellenó esos 
agujeros con cemento digital con el propósito de reafirmar la seguridad de su 
país: nadie podría volver a explotar esa vulnerabilidad, al menos no en esos 
departamentos gubernamentales. 

A partir de ese día, todo cambió. 
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Tanto entonces como con la perspectiva del tiempo, la acción de Vision 
parece insignificante. Su intervención fue tan minúscula y fugaz que apenas 
dejó rastro: un impulso electrónico casi inapreciable; un golpe de tecla; una 
letra entre páginas y páginas de código informático; el reflejo condicionado 
de un hacker nato. Sin embargo, Max Vision dejó abierto un diminuto agujero 
por el que solo él habría sido capaz de entrar. Poco después, un agudo 
ciberinvestigador de las fuerzas aéreas estadounidenses lo descubrió y 
resiguió su origen hasta dar con el responsable. 

Ese era el motivo que había llevado a sus amigos del FBI a llamar a la 
puerta de su casa de Santa Clara. Era el primer indicio de la tormenta que se 
avecinaba. «Nos has causado un montón de problemas, Max —dijeron—. Es 
un asunto de seguridad nacional, por eso las fuerzas aéreas han tomado cartas 
en el asunto». 

Vision estaba molesto e indignado. Había advertido por correo electrónico 
a las autoridades con anticipación, confiándoles sus sospechas acerca de la 
vulnerabilidad del sistema y su intención de escanearlo a modo de 
comprobación. 

¿Cuán grave era un delito como ese? Sus acciones no obedecían a fines 
económicos ni perseguían ningún otro tipo de beneficio. Al contrario, había 
hecho un favor considerable a los organismos federales implicados. Entre 
otras cosas, Vision había reforzado la seguridad de los sistemas informáticos 
de bases militares y centros de investigación nuclear, como los laboratorios 
nacionales de Brookhaven y Livermore. Puesto que el daño ocasionado había 
sido mínimo y que no había robado nada, ¿qué sentido tenía detener por ello a 
uno de los informáticos mejor dotados del continente? 

El descubrimiento de las fuerzas aéreas no solo condujo al arresto de Max 
Vision bajo la acusación de haber instalado un gusano peligroso. Las 
consecuencias fueron aún más graves, pues aquel pequeño agujero abierto en 
los puertos de entrada de la red informática creció y creció hasta convertirse 
en un tenebroso abismo: la Institución Correccional de Taft, una prisión 
federal situada en el desierto que se extiende al norte de Los Ángeles. Vision 
fue a prisión por ser un hacker hábil y consumado, no por ser un delincuente. 
Todo lo que sabía sobre delincuentes profesionales era lo que le explicaban 
sus contactos del FBI. Pero pronto eso iba a cambiar; Max ingresó en una 
prisión de baja seguridad con un gran número de reclusos condenados por 
fraude y demás delitos financieros. 

Se hallaba en una tesitura difícil, pero todavía iba a empeorar. Lo 
condenaron a dos años de internamiento en Taft, y, al mes de ingresar, Kimi 
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le hizo saber que rompía con él. 

Al ver que su mujer lo dejaba por otro hombre y que sus antiguos amigos 
del FBI se desentendían de él, Max Vision se precipitó a un abismo al fondo 
del cual aguardaba una profunda depresión. Fue entonces cuando conoció a 
otro recluso, un tal Jeffrey Normington, que le tendió una mano amiga cuando 
todo el mundo parecía haberle dado la espalda. 

Al salir de la cárcel, Vision no encontró ningún empleo donde pagaran 
más que el sueldo mínimo. Buscó trabajo y le ofrecieron buenos puestos en 
compañías de seguridad del extranjero, pero las restricciones de la 
condicional le impedían obtener el pasaporte, y en Silicon Valley nadie estaba 
dispuesto a contratar a alguien en cuyo currículo figurase una condena 
indeleble por delitos informáticos. 

Las deudas aumentaban y la desesperación se hacía más profunda. De 
pronto, un día Normington reapareció y le prometió que lo sacaría del abismo 
y que volvería a ver el sol de California. El camino estaba sembrado de 
ganancias. Normington le prometió un portátil Alienware último modelo, 
herramienta imprescindible aunque costosa. Y eso no era más que el 
principio. Además, le conseguiría un apartamento y correría con los gastos. 
Normington se encargaría de todo. 

Eso sí, a cambio de algunos favores. 

Vision podría haber elegido otro camino. Podría haber explorado otras 
alternativas. Podría haber recurrido a los amigos o a la familia. Pero estaba 
agotado, se sentía solo y Normington supo ser persuasivo. Enfrentado al 
dilema, optó por la vía equivocada. 

Max Vision, el benefactor, desapareció en el fondo del abismo, y en su 
lugar apareció Iceman, el repartidor de hielo, un personaje siniestro con un 
alter ego, Vision, formado al amparo de los federales. 
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CARDERS MARKET 


Iceman contempló desde la barrera cómo el Servicio Secreto estadounidense 
le ganaba la partida a la cúpula de Shadow Crew. No se sentía para nada 
identificado con aquella panda de impresentables que, mientras desvalijaban a 
particulares desprevenidos por la red, permitían que confidentes, soplones y 
rippers devoraran por dentro la organización. 

Con Shadow Crew fuera de circulación y varios aspirantes rivalizando por 
ocupar su lugar, Iceman decidió enseñarle al mundo cómo vencer a la ley. 
Ante todo, lo que quería era demostrar su poder sobre el ciberespacio y sus 
usuarios. 

Para Iceman, las webs de tarjeteros eran emporios anárquicos donde el 
dinero era lo de menos; lo importante de veras era la libertad de actuación. 
Estaba sinceramente convencido de que la creación de mercados 
especializados donde se intercambia información, como en Carders Market, la 
página que acababa de diseñar, no debía considerarse en sí misma una 
actividad delictiva, por más que pudiera incitar a algunos de sus usuarios a 
delinquir. Su web y otras parecidas eran la prueba de que la red, a diferencia 
de otras parcelas de la vida, no debía estar limitada por la rigidez de la 
intervención estatal; de hecho, la página principal contenía un mensaje muy 
directo destinado a policías y administradores de internet: 


MENSAJE PARA FUERZAS DE SEGURIDAD Y 
PROVEEDORES DE SERVICIOS Y ALOJAMIENTO 

Carders Market es un foro legal concebido como lugar 
donde sus miembros puedan debatir sobre temas de su elección. 
No se permiten bajo ningún concepto contenidos ilegales; de 
hallarlos, el equipo de la web los suprimirá de forma inmediata. 
Debatir no es delito. Gestionar un foro no es delito. La página 
no contiene números de tarjetas de crédito, ni cuentas bancarias, 
ni pornografía, ni virus, ni nada susceptible de ser considerado 
ilegal en Estados Unidos ni en el resto de la comunidad 
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internacional. Los negocios que puedan llevar a cabo nuestros 
miembros no son de nuestra incumbencia y, en cualquier 
caso, se desarrollan fuera del foro. No aprobamos las 
actividades ilegales y en ningún caso tomamos parte en ellas. 


Cuanto más se adentraba en el mundo de las tarjetas, más se enredaba su 
telaraña moral. Con el nombre de Iceman, Vision nunca compró ni vendió 
tarjetas de crédito; para ello, creó otro personaje virtual. Algo que todos los 
hackers tienen en común es la facilidad con que compartimentan su 
personalidad. En ocasiones, Vision parecía creer de veras que sus personajes 
pensaban y actuaban de forma autónoma, y que por lo tanto conformaban 
entidades morales distintas. 

Como Iceman, su ambición era vencer tanto a sus competidores del sector 
como a la policía para erigirse así en señor indiscutido del contrabando de 
tarjetas. Para ello, ideó una estrategia doble. Por un lado, identificar y delatar 
a los soplones (confidentes) y policías que rondaban los paneles de discusión. 
Por otro, derrotar a la competencia, es decir, a los demás foros que luchaban 
por la hegemonía en el sector. 

Mucho antes de que el Servicio Secreto planificara el cierre de Shadow 
Crew, Iceman ya sabía que varios de sus miembros clave eran confidentes de 
las fuerzas de seguridad de Estados Unidos y Canadá y, en algunos casos, 
incluso agentes de policía. Quienes como él vivían de engañar a los demás 
tenían que saber ver cuándo eran los demás quienes intentaban engañarlos a 
ellos. Si algo tenían claro los ciberladrones y ciberpolicías veteranos, era que 
nada fomenta la falsedad y la simulación como internet. Para Iceman, detectar 
soplones formaba parte de su trabajo. 

Cuando Iceman descubría a un confidente, colgaba vitriólicas acusaciones 
contra él en los paneles de mensajes. Algunos miembros empezaron a pensar 
que Iceman protestaba demasiado. ¿Podría ser que el confidente fuera el 
propio cerebro de Carders Market? De hecho, eso fue lo que muchos pensaron 
cuando lo vieron llevar a cabo su plan maestro para barrer a la competencia, 
una serie de ataques contra foros rivales destinados a eliminarlos y absorber 
las voluminosas bases de datos de sus miembros. Vision no disimulaba sus 
intenciones; de todos era conocido el tono arrogante con que proclamaba que 
otras webs delictivas, como Scandinaviancarding.com o Talk Cash, «no 
tenían ningún derecho a existir». 

Para subrayar su superioridad, creó en primer lugar un rastro digital falso 
para que pareciera que el servidor de Carders Market estaba localizado en 
Irán, es decir, fuera del alcance tanto de la policía como de otros tarjeteros. El 


www.lectulandia.com - Página 101 


servidor, en realidad, se hallaba en California, pero a Iceman se le daban tan 
bien las mentiras que todo el mundo se convenció de que la web estaba 
alojada en Irán. Como es natural, eso desató los rumores: ¿sería Iceman un 
agente de la inteligencia iraní encargado de sembrar la confusión entre las 
fuerzas del orden estadounidenses y reunir fondos para operaciones 
encubiertas? 

Quienquiera que fuese, era evidente que no se andaba con chiquitas. Una 
tras otra, logró infiltrarse en todas las páginas rivales y apropiarse de sus 
bases de datos, donde figuraban las direcciones de correo electrónico y 
contraseñas de sus miembros, así como el registro de todos los mensajes 
publicados. Una vez en su poder, vertía toda la información en Carders 
Market y la borraba del sitio original. 

Sus ataques eran implacables, ni siquiera los rusos escaparon a sus iras. 
Incluso se atrevió a atacar Mazafaka.ru, la emblemática página que había 
sustituido a Carder Planet en los afectos de la comunidad hacker rusa. No 
obstante, aunque en ocasiones el ego le nublara la razón, sabía muy bien que 
destruir las webs rusas de la misma manera que había destruido las webs 
inglesas habría sido una grave imprudencia. Los rusos contaban con algunos 
de los hackers más brillantes del mundo y Iceman no tenía ningún deseo de 
provocarlos. Por lo demás, tras la desarticulación de Shadow Crew, los rusos 
se habían retirado del negocio de las tarjetas. O, mejor dicho, se habían dado 
de baja —de forma más o menos generalizada— de los foros en inglés. El 
babilónico ir y venir de delincuentes, confidentes, espías y agentes de policía 
en las webs anglófonas empezaba a ser irritante y opresivo, y aunque ellos no 
corrieran peligro —en tanto se mantuvieran alejados de los países donde 
pudiera actuar la ley estadounidense—, el negocio se resentía. 

Así pues, los hackers rusos crearon una serie de foros exclusiva O 
mayoritariamente rusófonos, entre ellos Mazafaka.ru. Las fuerzas de 
seguridad estadounidenses no lo tenían nada fácil para infiltrarse en ellos, y la 
colaboración con la policía rusa o el influyente KGB se reveló difícil en 
extremo. La primera línea de defensa de los delincuentes rusos o ucranianos 
es la jerga local, en cambio permanente. Algunos agentes de policía 
occidentales podían conversar en ruso, pero tenían muchas dificultades para 
mantenerse al corriente de los cambios en la lengua relacionados con la 
cultura popular, que pocos podían seguir desde Washington o Londres. 

Mientras las webs rusas seguían operando con toda tranquilidad, en el 
verano de 2006 Iceman ya había liquidado a casi todos sus oponentes de 
lengua inglesa. Y cuando averiguaba que alguno de ellos intentaba levantar 


www.lectulandia.com - Página 102 


cabeza, lanzaba contra él un devastador ataque distribuido de denegación de 
servicio (DDOS). 

Los ataques DDoS se habían convertido en el arma más corriente en el 
ciberespacio. Eran obra de los llamados botnets, el equivalente digital de La 
invasión de los ladrones de cuerpos, la película clásica de Hollywood de los 
años cincuenta. Un virus «captura» un ordenador, que queda bajo la 
influencia de lo que se conoce como un servidor de mando y control. El virus 
infecta de esa misma manera a miles de equipos —a partir de entonces 
denominados zombis—, convirtiéndolos en esclavos a las órdenes de un 
todopoderoso servidor de mando y control. A casi todos los efectos, siguen 
funcionando como ordenadores normales, y los usuarios comunes ni siquiera 
se percatan de que su máquina ha pasado a engrosar las filas de un vasto 
ejército de no muertos digitales. Cuando un zombi desarrolla una actividad 
especialmente intensa, es posible que la inocente víctima perciba una ligera 
ralentización del equipo, debida por lo común a que su capacidad de trabajo 
se ve sobrepasada por el envío de miles de millones de correos basura en los 
que se anuncian alargamientos de pene y vicodina o en los que viajan copias 
del virus destinadas a infectar nuevos ordenadores. 

Pero en ocasiones los botnets reciben instrucciones de organizar ataques 
DDoS, para lo que se requiere que todos los zombis accedan a una 
determinada página web al mismo tiempo. Las webs o servidores que sufren 
un DDoS se colapsan ante la imposibilidad de dar cabida a tal cantidad de 
tráfico de datos y sus páginas se quedan congeladas. Si el ataque es lo 
bastante potente, el sistema entero se paraliza. 

A base de arrogancia y de recurrir cada dos por tres a ataques DDOS, 
Iceman se ganó la animadversión de buena parte de la comunidad hacker. 
Pero sus tácticas despertaron también la sospecha de que podía estar a sueldo 
de los federales, ya que muchas de sus víctimas eran hackers y delincuentes. 

Lo que nadie podía discutirle eran las cifras: Carders Market tenía varios 
miles de miembros en activo que no dejaban de comprar y vender tarjetas de 
crédito, cuentas corrientes, virus, identidades y demás. En agosto de 2006, se 
había convertido en el rey del cibermundo. 

Solo tenía una espina clavada. Había una página que se negaba a caer. 
Cada vez que la atacaba, ya fuera borrando su base de datos y eliminando 
todos sus archivos, ya ordenando a su ejército de zombis que la hicieran caer 
de la red, la página aguantaba y, como un tentetieso, volvía a levantarse. 

La batalla con Dark Market había empezado. 
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DARK MARKET 


El ciberespacio, 2005-2008 


El coche trucado descendía por el extremo occidental de los Alpes y el sol se 
reflejaba sobre las límpidas aguas del Mediterráneo como una confirmación 
de que aquel había de ser un fin de semana extraordinario. El grupo de 
veintitantos escandinavos liderado por Recka, el rey de los tarjeteros suecos, 
salió de la A8 para tomar la carretera de la Grande Corniche, por la que luego 
bajarían serpenteando a través de las montañas hasta Mónaco. 

El principado, uno de los Estados más pequeños y densamente poblados 
del mundo, pasó buena parte del siglo pasado sumergido en glamur. Gracias 
al clima de idolatría por las estrellas típico de la posguerra, el país saltó a la 
fama en 1956, año en que Grace Kelly, una de las figuras más adoradas de 
Hollywood, ingresó en la realeza al contraer matrimonio con el príncipe 
Raniero, el heredero al trono monegasco. 

Pasados cincuenta años justos de la boda del siglo, un grupo de miembros 
de Dark Market armados con un peculiar arsenal de plástico planeaba una 
razia contra aquel templo de la decadencia. Nada más franquear la frontera 
entre Francia y Mónaco, aparecieron los primeros casinos. Los presupuestos 
del principado dependen de esas fábricas de billetes desde la década de 1860. 
Las gentes del país los conocen como «las billeteras de Mónaco», y gracias a 
ellos los monegascos no pagan impuestos. ¿Para qué? La habitación sencilla 
en el hotel Monte Carlo Bay, por ejemplo, cuesta ochocientos euros por 
noche, y, si los huéspedes pueden permitirse pagar ese precio, es evidente que 
también pueden despilfarrar su estúpido dinero en el casino. El resultado es 
una sobreabundancia de riquezas generalizada. 

Los monegascos nadan, pues, en la abundancia gracias a los 
multimillonarios que dilapidan sus fortunas en las mesas de blackjack o en la 
ruleta. A muchos visitantes no les importa desprenderse de esas cantidades 
con tanta ligereza porque se trata de dinero que, en otras circunstancias, 
habrían tenido que pagar en concepto de impuestos en los países donde ellos o 
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sus negocios tienen fijada la residencia. Mónaco es un paraíso para la evasión 
fiscal —y, según la venerable Organización para la Cooperación y el 
Desarrollo Económico, también para el lavado de capitales—, y las 
autoridades de este montuoso reducto libre de impuestos no suelen hacer 
preguntas sobre el origen del dinero de quienes visitan su pequeña patria. 

El lugar ideal, pues, para un grupo de piratas armados con doce American 
Express Centurion, la legendaria Amex negra, una deidad olímpica de la era 
del plástico que solo concede audiencia mediante invitación especial a los 
grandes potentados de Occidente, Japón, Hong Kong y Oriente Próximo. En 
Estados Unidos, los poseedores de la Centurion abonan una cuota de 
admisión de cinco mil dólares y cuotas anuales de dos mil quinientos. A 
cambio, obtienen billetes de avión gratuitos, asistentes exclusivos, asesores de 
compras y afiliaciones a clubes de élite repartidos discretamente por todo el 
mundo de los que el común de los mortales jamás hemos oído hablar. 

¿Y en cuanto al dinero? El dueño de una Centurion no tiene más que 
enseñarla y dejar que le caigan encima los dólares, euros, libras, francos 
suizos o yenes de que le hará entrega el empleado de banca de turno con una 
sonrisa reservada para los clientes de su posición y valía. Casi bastaría una 
Centurion para pagar el rescate de un rehén capturado por piratas somalíes. 

No hay nada extraño en que un grupo de jóvenes con más dinero de la 
cuenta visiten Montecarlo con el único fin de gastar y gastar a golpe de 
Centurion; en un ambiente como ese, los jóvenes consentidos son la norma. 
El objetivo era dejar las doce tarjetas mágicas sacando humo. Primero un 
hotel de lujo, luego los cócteles y una fastuosa comida, y a continuación el 
casino. «Fue una fiesta salvaje —recuerda uno de ellos con tono ensoñado—. 
En 2006, Dark Market empezó a pegar fuerte». Cuando se marcharon, dos 
días más tarde, los jóvenes habían gastado cuatrocientos mil dólares con sus 
Amex negras. Incluso ellos mismos admiten que se sorprendieron al ver que 
era tan fácil. «La gente ni pestañeaba. Nadie puso ningún reparo. Era como si 
ahí todo el mundo hiciera lo mismo a todas horas». 

Los escandinavos no eran los únicos que habían explotado el filón. 
Maksik, un conocido tarjetero ucraniano, había ganado cientos de miles de 
dólares vendiendo dumps y fulls (números de tarjetas de crédito con su PIN y 
los tres dígitos del reverso de la tarjeta). Cha0, en Turquía, había creado una 
auténtica factoría criminal mediante la extracción de dinero con tarjetas de 
crédito clonadas y la venta de clonadoras a todo el mundo para que otros 
ladrones pudieran robar datos por su cuenta. 
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Darkmarket.com se fundó en mayo de 2005, pero durante los primeros 
meses de existencia no consiguió arrancar el vuelo. No fue hasta el otoño de 
ese año que consiguió atraer a figuras importantes de los foros del sector. El 
más activo de ellos era JiLsi, el hacker de Sri Lanka, creador a su vez de otra 
web, The Vouched, y moderador en la pequeña pero influyente sección en 
inglés de Mazafaka. 

JiLsi consiguió en poco tiempo ser nombrado moderador global de Dark 
Market, el escalafón previo al cargo de administrador, y se marcó como meta 
aumentar el prestigio de la página. Su objetivo era el mismo que el de Iceman 
con Carders Market: quería que la web fuera reconocida como una de las más 
importantes del mundo anglófono. Trabajando incansablemente desde la 
cafetería de internet Java Bean del norte de Londres, logró que en mayo de 
2006 el número de miembros hubiera aumentado en varios cientos. En su 
mayoría eran usuarios de habla inglesa, aunque también había un importante 
componente de rusos. 

Cuando la web empezó a hacerse popular entre los tarjeteros del mundo 
entero, sus fundadores decidieron cerrarla por miedo a la infiltración de los 
servicios de seguridad. Uno de ellos temía incluso que Dark Market alcanzase 
un éxito excesivo. JiLsi y sus amigos, por el contrario, querían seguir sacando 
partido de su creciente reputación, de modo que registraron la página como 
darkmarket.ws (el dominio geográfico de Samoa Occidental). 

Ahora podían ponerse a trabajar en serio. Además de JiLsi, Dark Market 
contaba con el patrocinio de un renombrado hacker ruso que operaba bajo el 
nombre de Shtirlitz, un veterano de Carder Planet que ejercía de correa de 
transmisión entre las webs rusas y Dark Market. 

Matrix001 fue otro de los que quisieron echar un vistazo a la página. Su 
reputación como especialista en diseño gráfico no había hecho más que crecer 
desde su ingreso en la Asociación Internacional para el Progreso de la 
Actividad Criminal. Lo que vio lo dejó más bien frío: el panel de mensajes 
estaba anticuado y la seguridad dejaba bastante que desear. Matrix le envió un 
mensaje a JiLsi, el administrador, en el que lo informaba sin rodeos de que, 
debido a las deficiencias del sistema, la web era pirateada a diario por 
enemigos como Iceman. Matrix se ofrecía a instalar un sistema mejor. JiLsi 
aceptó encantado y Matrix empezó su ascenso en la jerarquía. 

Otros muchos se ofrecieron a colaborar. JiLsi promocionó en poco tiempo 
a un tal Master Splyntr al cargo de moderador del foro. El nombre de Master 
Splyntr, alias de un conocido spammer polaco llamado Pavel Kaminski, era 
un guiño inequívocamente adolescente: hacía referencia a la rata que 
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introduce en las artes marciales a las tortugas ninja en la popular serie infantil 
de dibujos animados. En deferencia a su carisma y habilidad, Master Splyntr 
también era conocido como «senséi» entre la comunidad spammer y hacker. 

La verdadera identidad de Master Splyntr fue revelada por la organización 
secreta antispam británica Spamhaus.org. Los hombres de negocios, 
informáticos, exespías y Dios sabe qué más que integran ese grupo mantienen 
una guerra abierta contra una serie de pesos pesados del mundo del spam, el 
tarjeteo y la pornografía infantil. Su misión consiste en peinar la red en busca 
de proveedores de servicios de internet perniciosos, es decir, proveedores de 
servicios de internet que hacen la vista gorda ante las actividades delictivas de 
sus clientes. Kaminski, según informó en su momento Spamhaus en su página 
web, era uno de los cinco mayores spammers del mundo y el remitente de 
ingentes cantidades de anuncios no deseados de alargamientos de pene, 
vicodina y demás. 

Que Spamhaus mostrara tanto interés por Master Splyntr significaba que 
era un hombre marcado; de hecho, cinco cuerpos policiales de distintos países 
investigaron sus actividades en cuanto se pasó del envío de correo basura al 
tarjeteo. A Kaminski se lo relacionaba también con la distribución al por 
mayor de malware, virus y troyanos. Era un tipo malo con todas las de ley. 
JiLsi estaba encantado de haber pescado a un pez gordo como él en las aguas 
de Dark Market, y, de hecho, mantuvo una estrecha relación tanto con él 
como con Matrix001. Estaban formando un equipo, y cuando Cha0, el turco, 
se unió al grupo, Dark Market quedó envuelto en una indudable aureola de 
éxito. 

A simple vista, Dark Market no tenía nada de particular. Su 
funcionamiento era como el de los paneles de mensajes donde se debate sobre 
los peligros de ser padre o los placeres de la apicultura. Acceder no era fácil 
porque los miembros debían presentar una solicitud y someterse a escrutinio, 
aunque eso casi nunca suponía un problema para alguien familiarizado con el 
negocio y con un verdadero interés por ingresar en la web. Por razones de 
seguridad, los negocios en sí —las compraventas— casi nunca se llevaban a 
cabo en el foro. La página era más bien un punto de encuentro de vendedores 
y compradores; ahí los fabricantes de máquinas clonadoras entraban en 
contacto con sus posibles clientes y los dueños de bases de datos de tarjetas 
reclutaban a las brigadas encargadas de la delicada tarea de ir de cajero en 
cajero extrayendo el dinero en metálico. Pero los detalles de cada acuerdo casi 
siempre se discutían en conversaciones privadas a través de redes ICQ 
encriptadas. Una vez pactado un acuerdo, las partes volvían a la web para 
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acogerse al servicio de fideicomiso, mediante el cual los administradores 
garantizaban el cumplimiento del trato. 

El foro atraía cada día a más adeptos y el negocio iba viento en popa. 
Determinados miembros actuaban como puente entre los delincuentes rusos y 
los tarjeteros occidentales. La influencia geográfica de la página era cada vez 
mayor. “Turquía empezaba a convertirse en un territorio importante, y las 
comunidades de España y Alemania crecían a buen ritmo, en tanto que los 
tarjeteros galos —que, como la mayoría de los franceses, se sentían más 
cómodos en entornos francófonos también en la red— intentaban engrasar su 
inglés para no perder el tren. 

La edad de oro de Dark Market estaba a punto de comenzar. 
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LA OFICINA 


La oficina de Renu Subramaniam era uno de los terminales del Java Bean. 
Durante los últimos dieciocho meses, Renu había tenido que trabajar 
soportando un estrépito continuo, ya que la cafetería quedaba delante del 
estadio de Wembley, por entonces inmerso en un proceso de remodelación 
total que, a mediados de 2006, ya había superado tanto los plazos como el 
presupuesto. 

A primer golpe de vista, la cafetería era como cualquier otra de las miles 
que hay diseminadas por el globo. La ubicación del local, entre el bar 
Bowling Nail y una gestoría de aspecto lúgubre, no era la ideal. En él había 
varias pantallas viejas y en mal estado y teclados grasientos conectados a 
ordenadores poco fiables con las etiquetas de marca falsas típicas de las 
imitaciones baratas de Asia oriental. Solo Dios sabe qué clase de actividades 
tenían lugar en el interior de las destartaladas mamparas de madera que 
separaban aquellas mugrientas consolas. 

Inclinados sobre las pantallas podían encontrarse adolescentes que 
pasaban las horas jugando en línea, a menudo en estados de concentración 
inauditos; mochileros que redactaban simpáticos correos con sus impresiones 
sobre las tierras recién descubiertas; chiquillos curiosos y hombres de 
mediana edad frustrados que navegaban por extravagantes webs 
pornográficas; jóvenes idealistas que planificaban protestas con la confianza 
de que el anonimato de la red los ayudase a burlar al Gran Hermano; 
traficantes de drogas que discutían puntos de entrega y métodos para lavar 
dinero, y ciberdelincuentes que se conectaban para ver a cuánto ascendía su 
última estafa. 

Aparte de su ubicación, a la sombra del nuevo estadio de Wembley, el 
Java Bean también era peculiar por otro motivo. Generalmente, los 
ordenadores de las cafeterías de internet están protegidos solo de forma 
parcial frente a ataques externos. Virus, troyanos y demás bacterias digitales 
campan por ellos a su antojo, como sus equivalentes orgánicos en los 
hospitales con medidas de higiene deficientes. 
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Renu, sin embargo, se tomaba la seguridad muy en serio y había 
convencido al encargado del Java Bean de que instalase en los sistemas de la 
cafetería un programa especial llamado Deep Freeze. La aplicación restauraba 
en los discos duros una configuración predeterminada, de modo que la red no 
«detectara» ningún tipo de malware descargado a lo largo del día. Así, los 
programas maliciosos quedaban sin efecto y Renu reforzaba su protección. 

Si el Java Bean era la oficina de Renu, el fichero donde se acumulaban los 
secretos de Dark Market consistía en un pequeño lápiz de memoria. Renu 
siempre llevaba su memoria portátil literalmente pegada al corazón. Cuando 
llegaba a la oficina, insertaba el dispositivo en uno de los terminales y se 
ponía a trabajar en Dark Market. 

Una vez conectado, Renu se ponía la máscara de pirata y se transformaba 
en JiLsi, uno de los ocho administradores que dirigieron Dark Market a lo 
largo de sus tres años de existencia. El equipo, que en ningún momento 
estuvo formado por más de cuatro miembros, se convirtió en una de las 
unidades más influyentes del panorama tarjetero global. El hecho de ocupar 
un cargo prominente no se traducía en ingresos adicionales, pero era un 
puesto privilegiado que inspiraba un respeto considerable entre la comunidad 
de hackers y crackers. Los administradores, además, disponían de acceso a 
grandes cantidades de información y gozaban de poder virtual de vida o 
muerte: en su mano estaba excluir a determinados miembros con motivo de 
transgresiones reales o presuntas. 

El codiciado cargo de administrador tenía dos grandes inconvenientes. En 
primer lugar, implicaba mucho trabajo, unas quince o diecisiete horas diarias 
de tecleo constante y sin posibilidad de vacaciones, ya que debían estar 
disponibles todos los días del año. Master Splyntr, por ejemplo, siempre 
llevaba encima un teléfono móvil que lo alertaba cuando alguno de los 
miembros requería su ayuda. JiLsi se quejaba de que se conectaba a las nueve 
de la mañana y a las diez de la noche seguía sentado delante de la pantalla. La 
mayor parte del trabajo era puro trámite: examinar los mensajes para 
asegurarse de que los miembros cumpliesen las reglas del foro y colgasen los 
mensajes en la sección adecuada. Casi todo el tiempo se perdía en burocracia, 
en detalles triviales y soporíferos. 

En segundo lugar, el equipo de administradores estaba conectado de 
forma permanente a los sistemas de las webs. Su impronta digital era, a 
priori, mucho más visible que la de los miembros ordinarios, lo que los 
convertía en un objetivo de primer orden para los ciberpolicías. 
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La situación resulta paradójica si tenemos en cuenta que generalmente 
eran los miembros «ordinarios» quienes ganaban más dinero en Dark Market: 
los administradores asumían los mayores riesgos a cambio de una recompensa 
económica mínima. A lo largo de esos tres años, JiLsi y Matrix ganaron una 
miseria, y Master Splyntr solo cobraba por mantener los servidores, el resto 
de sus ganancias provenían de los envíos de correo basura. 

Mención aparte merece Shtirlitz, personaje enigmático presente desde el 
primer momento. Su alias hace referencia al personaje de ficción Max Otto 
von Stirlitz, que en las novelas de Yulian Semiónov es un alto oficial nazi que 
trabaja como espía para Moscú durante la segunda guerra mundial. Conocido 
como el James Bond ruso, Stirlitz arraigó en la mentalidad rusa en la década 
de 1970 gracias a una serie de populares películas basadas en los libros. 
Stirlitz, tipo discreto y bien parecido, sigue siendo un poderoso símbolo 
patriótico en la Rusia poscomunista gracias a su gran valor, inteligencia e 
incondicional compromiso patriótico. 

Hasta aquí Stirlitz, el espía soviético. Pero ¿quién era Shtirlitz (que 
transliteraba su nombre del ruso, de aquí la adición de la hache), el tarjetero? 
¿Era también él un agente del KGB? ¿O quizá un agente doble, a sueldo de 
los federales o del Servicio Secreto? ¿Acaso un maestro de tarjeteros? Uno de 
los miembros de Carder Planet que lo conoció lo describe como un «tipo de 
aspecto ario, al borde de la treintena». Poseía varios pasaportes falsos y, 
durante una época, residió en Praga. En Carder Planet se hablaba de él como 
de «una persona buena y de fiar», pero con el tiempo los tarjeteros empezaron 
a sospechar que quizá su verdadero vínculo con el personaje de ficción 
consistía en ser uno de los más experimentados agentes de la ley 
estadounidenses. 

Fueran cuales fueran sus motivos para convertirse en uno de los 
principales miembros de Dark Market, su presencia era constante aunque 
silenciosa, y su participación, más bien escasa. Más tarde aparecería otro 
administrador, Lord Cyric, que, igual que él, parecía no comprar ni vender 
nada. Ambos estaban demasiado ocupados manteniendo el barco a flote y 
labrándose una reputación de proporciones legendarias entre sus cofrades. 

Al mismo tiempo, los dos tenían secretos. A veces las cosas no son lo que 
parecen. 

Resulta irónico que quien más se preocupara por preservar su seguridad 
personal fuese, en muchos respectos, el más transparente. Hablamos de Cha0, 
el delincuente turco, cuya aparición en los foros fue relativamente tardía. A 
diferencia de los demás, Cha0 no era un veterano de Shadow Crew ni de la 
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[AACA, sino que surgió como de la nada a principios de 2006 en calidad de 
propietario de un foro llamado Crimeenforcers.com, una web de diseño 
elegante que ofrecía toda clase de ayudas a los aspirantes a ciberdelincuentes. 
La página destacaba sobre todo por sus tutoriales en los que un dibujo 
animado que representaba a Cha0 guiaba a los usuarios a través de los 
vericuetos del mundo tarjetil. 

Cha0 se servía de Dark Market para promocionar Crime Enforcers (la 
publicidad de pago representaba para los foros una importante vía de 
ingresos), y su presencia ubicua, así como sus incesantes transacciones, 
pronto se tradujeron en una verdadera influencia. Ingresó en Dark Market en 
febrero de 2006, y al cabo de siete meses era uno de sus cabecillas. 

A diferencia de sus colegas, Cha0 era uno de esos pocos casos en que la 
vocación delictiva se conjuga con una mente brillante. Su motivación para 
aceptar el cargo fue muy simple: podía serle útil con vistas a ampliar su 
negocio como distribuidor de accesorios para perpetrar delitos económicos, 
tales como las clomadoras, los dispositivos de lectura, almacenamiento y 
transmisión de datos de las tarjetas de crédito de las víctimas. 

Mas, como ocurre con otras figuras destacadas de Dark Market, la historia 
de Cha0 resultó ser bastante más bizantina, y aquí el adjetivo viene como 
anillo al dedo, por tratarse de un residente de Estambul. 

Dejando aparte el anómalo caso de Cha0, los ladrones más exitosos de 
Dark Market no participaban en el mantenimiento de la página. Eran gente 
como Freddybb y Recka, los tarjeteros de Scunthorpe y Suecia, que, si 
entraban, era para liquidar algún negocio, y luego desaparecían durante días, 
semanas e incluso meses. De aquí que los ciberoperativos de los cuerpos 
policiales de los distintos países hayan resultado en la detención de un mayor 
porcentaje de geeks que de delincuentes puros y duros. 

La abnegada labor de los cuatro administradores giraba en torno a cuatro 
tareas principales. La protección de los servidores de la web y su 
mantenimiento general eran responsabilidad de Master Splyntr y Matrix001. 
La mayor parte de las amenazas que llegaban a la página no provenían de los 
cuerpos policiales, sino de los rivales y enemigos que Dark Market tenía 
repartidos por todo el ciberespacio criminal, como Iceman. Splyntr, Matrix y 
JiLsi suspiraban resignados cada vez que surgía una pelea entre miembros. El 
proceso solía ser siempre el mismo, tanto era así que, a su pesar, Splyntr 
terminó por acostumbrarse: un tarjetero acusaba a otro de haber infringido 
alguna norma, a veces sin base, a veces con razón. Acto seguido, el acusado 
armaba una pataleta, y, al poco tiempo, organizaba un botnet para lanzar un 
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ataque DDoS. Entonces, miles de ordenadores bajo un único equipo de mando 
y control solicitaban acceso a Dark Market, provocando la caída de la página. 
En el mundo real, se decía Splyntr, la solución habría sido ir a por el causante 
y molerlo a palos, pero en el ciberespacio no queda más remedio que cerrar la 
web y esperar a que el atacante se calme o negociar algún tipo de acuerdo. 

Los administradores, por lo tanto, estaban obligados a tener los ojos 
puestos en los conflictos que se gestaban entre los miembros e intentar 
contenerlos antes de que estallasen. Por regla general, los ciberdelincuentes 
tienen los modales de un chimpancé y la lengua de una verdulera siciliana. El 
anonimato de la red fomenta una desconfianza intrínseca, sobre todo en el 
mundo del hampa, siempre bajo la amenaza de la policía y la supuesta 
invulnerabilidad que el usuario cree que le confiere el anonimato. En foros 
como Dark Market, los insultos desembocaban a menudo en una guerra 
verbal abierta, y esa era una de las mejores bazas de la policía; cuando una 
comunidad vive dividida por las suspicacias, cualquiera con un mínimo de 
habilidad puede manipular las disputas en provecho propio. 

El equipo de administración era el que decidía el lugar de los miembros 
dentro de la jerarquía de Dark Market. Los cuatro se reunían en privado —en 
un foro al que solo ellos tenían acceso— y discutían, por ejemplo, si tal 
vendedor de tarjetas de crédito robadas tenía un historial lo bastante fiable 
como para merecer el anhelado título de «vendedor cualificado», lo que le 
permitiría vender tarjetas sin restricciones a través de Dark Market. 

Los administradores eran asimismo los encargados de investigar la 
presencia de ciberpolicías, por no hablar de los «puercos y rippers», los 
delincuentes que se negaban a acatar las reglas del submundo. 

La detección de rippers también era un factor clave en la tercera y más 
importante función de los administradores: gestionar el servicio de 
fideicomiso a fin de asegurar que los reyes del juego sucio jugasen limpio 
entre ellos. Como en el caso de la primera web del sector, Carder Planet, la 
correcta gestión de los fideicomisos se reveló crucial a la hora de convertir a 
Dark Market en la principal web criminal del momento. El servicio estaba a 
cargo de JiLsi, pero las decisiones importantes las tomaba Cha0. 

Por último, los administradores debían mantenerse ojo avizor para evitar 
que nadie utilizase la web para distribuir pornografía infantil o dedicarse a la 
compraventa de drogas y armas. No lo hacían movidos por una repulsa moral, 
sino por el convencimiento de que, si se limitaban al tráfico de tarjetas y datos 
personales, la policía mostraría menos celo en sus actuaciones contra la web. 
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Para Renu, la primera mitad de 2006 fue muy movida. La mala suerte 
empezó en febrero. Salió del Java Bean tras una dura jornada de trabajo y se 
dispuso a pasar la noche abrazado al Martell y su pipa de crac. A la mañana 
siguiente, al levantarse, vio que su valioso lápiz de memoria no se hallaba en 
el lugar habitual, guardado cerca de su pecho. ¡Se había olvidado el chisme de 
las narices en la cafetería! 

El pánico se apoderó de él. Cuando llegó al Java Bean, fue directo al 
encargado para preguntar si alguien lo había encontrado. El encargado negó 
con la cabeza. «¡Por tu culpa acabo de perder un cuarto de millón de libras!», 
gritó Renu, olvidando por un momento que el único responsable de aquel 
desastre era él. Le preocupaban menos sus limitados fondos que el dinero y 
los datos que tenía en fideicomiso. 

A lo largo de las semanas siguientes, JiLsi emprendió una operación de 
control de daños. Debía garantizarles a los miembros de Dark Market que 
habían depositado su confianza en él que no corrían peligro. Al mismo 
tiempo, en el mundo real, Renu se las veía y se las deseaba para pagar las 
hipotecas sobre una serie de cuchitriles que había adquirido en la zona norte 
de Londres. Dark Market prosperaba, pero no podía decirse lo mismo de 
JiLsi. Al contrario, las deudas no dejaban de acosarlo y tuvo que pedir 
prestado a algunos «amigos». El hecho de ser un fugitivo del ciberespacio no 
suponía ninguna ventaja a la hora de abrirse camino en el «submundo» 
tradicional. 

A pesar de la pérdida del lápiz de memoria, Renu siguió entregado en 
cuerpo y alma a Dark Market. Sin embargo, el estrés que le provocaba la 
dirección de la página empezaba a hacérsele insoportable, sobre todo porque 
veía que Dark Market y Carders Market se hallaban enfrascados en una lucha 
a muerte. La web era vulnerable, pero JiLsi lo era todavía más, y a veces tenía 
la impresión de que la situación terminaría superándolo. 

Iceman recrudeció sus ataques mediante el envío de DDoS y arrojando 
contra Dark Market todas las armas digitales que caían en sus manos. Los 
tarjeteros de todo el mundo se alinearon con una u otra de las páginas. 
Argiúían que era el oponente quien debía ceder y dejar el sector en manos de 
una única megaweb. De hecho, ese era el principal argumento de Iceman: que 
en ese campo la competencia no redundaba en una mayor eficacia, sino solo 
en rencor. 

En septiembre de 2006, los ataques no habían cesado y Renu se hallaba al 
borde de la desesperación. Además, su dependencia del crac era cada vez 
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mayor, lo cual suponía un peligro para su seguridad —por no decir para su 
salud—, así como para la de Dark Market. 

Finalmente, decidió hablar de los ataques contra Dark Market con Master 
Splyntr, a la sazón moderador, es decir, dos escalafones por debajo de JiLsi, 
que era el administrador principal. Master Splyntr (Kaminski) llevaba tiempo 
diciendo que JiLsi debía cederle el control de los servidores. Kaminski 
aseguraba que sus dispositivos de seguridad eran mejores y que, si delegaba 
en él, JiLsi se quitaría mucha presión de encima. 

Master Splyntr figuraba en el último puesto de la lista de preferencias de 
JiLsi. Antes que a él, Renu le había ofrecido el cargo a Cha0, pero el turco se 
había negado a aceptarlo, sin duda porque no estaba dispuesto a desempeñar 
tan ingrata tarea. Nadie más parecía dispuesto a comprometerse, de modo que 
JiLsi no tuvo más remedio que proponérselo a Master Splyntr. 

Kaminski recibió el aviso hacia las once y media de la noche a principios 
de octubre de 2006. «Mis servidores están listos, JiLsi», contestó. Feliz de no 
tener que volver a responder de la vulnerabilidad de sus servidores, JiLsi dejó 
a un lado sus dudas: «Muy bien. ¡Adelante!». 

Tal vez porque temía su irritación, JiLsi no consultó la decisión de ceder 
el control del servidor a Master Splyntr con el resto de los administradores, 
aunque, una vez efectuado, nadie pareció oponerse. Splyntr no tardó en 
mostrarse más eficaz que JiLsi, y todo el mundo quedó convencido de que era 
la persona idónea. 

Kaminski cumplió lo prometido: sus servidores eran efectivos y seguros. 
No solo eso, sino que cada vez que alguien (hackers, policías, servicios 
militares o de inteligencia) intentaba averiguar cuál era la localización real de 
Dark Market, el intruso se veía incapaz de ir más allá de un servidor anónimo 
situado en Singapur. 

Master Splyntr fue nombrado administrador. El tráfico de la página volvió 
a aumentar. Cada vez que Iceman atacaba la web y destruía su base de datos, 
Master Splyntr la restauraba en menos de veinticuatro horas. Iceman era sin 
duda alguna el mejor en el apartado técnico, pero con su arrogancia se había 
ganado la antipatía de cientos de tarjeteros. Dark Market ganó fuerza y 
parecía que nada podía evitar su ascenso a la cumbre. Pero Iceman todavía no 
había jugado su última carta. 
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MENTES SUSPICACES 


Bajo una calma aparente, Iceman escondía una furia demoledora. Había 
perdido la cuenta de la hora. Podían ser tanto las tres de la madrugada como 
las tres de la tarde; la preparación de un ataque de grandes proporciones 
requiere invertir horas, y es fácil desorientarse. Para los hackers más 
obsesivos, las nociones de espacio y tiempo se evaporan. Cuando lo invadía la 
furia, Iceman perdía el mundo de vista; lo único que le importaba era la 
llamada de Némesis, la diosa de la venganza. 

La diosa se manifestaba bajo distintas apariencias. En primer lugar, bajo 
el nombre de El Mariachi, un rencoroso tarjetero cuya web, The Grifters, 
Iceman había destruido. Desde su promontorio digital, El Mariachi afirmaba 
poseer pruebas irrefutables de que Iceman era un colaborador del FBI. Sus 
acusaciones contaban con el respaldo de Lord Cyric, el perrito faldero de El 
Mariachi, cuyos ladridos eran audibles en todos los foros. Como tantos otros, 
Iceman sentía un gran desprecio por Lord Cyric. 

Unos y otros cruzaban envenenadas acusaciones por las distintas webs. 
Era como una guerra entre clanes mafiosos, con la diferencia de que nadie 
sabía con certeza a qué familia pertenecía cada uno, ni quién podía ser un 
confidente o un federal. Era el caos. 

Hasta que un día Iceman descubrió una información que en ese momento 
consideró veraz y que lo dejó poco menos que anonadado en su cómodo 
apartamento del centro de San Francisco, pagado por Jeffrey Normington y 
otro socio a cambio del suministro regular de números de tarjetas de crédito 
robadas. Desde ahí, entre bordes de pizza resecos y latas de cola, Iceman 
administraba Carders Market y atacaba sin tregua otras páginas. En octubre, 
había logrado piratear con éxito el núcleo de los servidores de Dark Market. 

Mientras examinaba el tráfico de los administradores, identificó de pronto 
unas direcciones IP de aspecto sospechoso. Cualquiera puede buscar una 
dirección IP y comprobar su ubicación, qué persona física o jurídica está 
asociada a ella, así como el nombre de su proveedor de servicios de internet. 
Una de la direcciones estaba registrada a nombre de una compañía llamada 
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Pembrooke Associates. Iceman puso la red patas arriba en busca de 
información, pero no halló nada excepto una web con un listado de empresas. 
En él figuraba el nombre y un número de teléfono. Acto seguido, realizó una 
búsqueda inversa en el listín telefónico y dio con la dirección física: 2000 
Technology Drive, Pittsburgh (Pensilvania). 

Al leer la dirección, ni siquiera un tipo como Iceman pudo reprimir un 
escalofrío. A decir verdad, ya se había cruzado con ella un par de semanas 
antes, después de que uno de sus colegas de Carders Market hubiera 
encontrado en una web una plantilla con el acrónimo NCFTA y esa misma 
dirección de Pittsburgh. Cuando Iceman buscó la organización, descubrió que 
se trataba de la Alianza Nacional para la Formación en Informática Forense, 
un organismo semigubernamental que colaboraba con varias agencias de 
seguridad estadounidenses en todo tipo de asuntos relacionados con la 
seguridad electrónica. 

Desde su escondite en las catacumbas virtuales, de repente Iceman sintió 
la gélida mano del mundo real. Siempre había sospechado que le ley acechaba 
detrás de cada esquina, pero aquello no dejaba lugar a dudas; estaba seguro de 
que no podía tratarse de un error. Tras tantos meses convencido de ser 
intocable y de tener en sus manos a la comunidad tarjetera, Max Vision 
empezó a preocuparse. 

Tras una larga serie de consultas, tres de los colegas de Iceman en Carders 
Market —silo, cOrrupted0ne y dystopia— decidieron contactar con 
Matrix001, de Dark Market, para compartir con él su preocupación acerca de 
aquella dirección IP y el FBL, y para trazar un plan a seguir. Matrix001 era el 
único administrador al que nadie creía vinculado con ningún cuerpo de 
seguridad, de modo que le enviaron un escueto mensaje por ICQ con las 
pruebas relativas a la NCFTA y la dirección de Technology Drive en 
Pittsburgh: 


dystopia: Hace tiempo que lo sabemos, pero al fin tenemos 
pruebas. 

dystopia: Matrix, DM es una tapadera. 

dystopia: 100 %. 

cOrrupted0: Nos hemos esforzado por hacer las paces, y si 
sacamos esto a la luz la policía vendrá DIRECTAMENTE a por 
nosotros, pero si no decimos nada seremos responsables de toda 
la gente a la que jodan. 

siloadmin: ¡Feliz día, administras una web tapadera! 
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siloadmin: Pembrooke Associates 2000 Technology Dr. 
Pittsburgh, Pensilvania, 15219. ¿Te suena 2000 Technology 
Dr.? 


Matrix temía que ahí hubiera gato encerrado. Por norma no se fiaba de nadie, 
y mucho menos de cOrruptedOne y silo. Durante mucho tiempo, Carders 
Market no había escatimado recursos para acosar a Dark Market con el fin de 
destruirla por todos los medios posibles. Examinó el documento y, pese a no 
ser el inglés su lengua nativa, enseguida vio que estaba trufado de errores: 


Matrix001: El documento de Word es falso. 

Matrix001: ¿Ninguno de vosotros se ha fijado en las erratas? 
Matrix001: Ah, y en el encabezamiento no figura ninguna 
empresa ni nombre de ningún tipo... 

Matrix001: ... donde ponga NCFTA. 

Matrix001: Solo la dirección. 

Matrix001: Ah, y por poner solo un ejemplo: se escribe 
disponible no disponibile. 

Matrix001: ¿Queréis que siga? 


Siloadmin contestó poniéndose a la defensiva, como si estuviera molesto 
consigo mismo por no haber reparado en las erratas: 


siloadmin: Escucha, Matrix: 

siloadmin: Ya sé que el puto documento parece falso, erratas, 
etc. 

siloadmin: Pero es lo que hay. 

siloadmin: Yo no me he sacado esta mierda de la manga. 
Matrix001: Ninguna empresa del mundo redactaría un 
documento como ese. 

Matrix001: Es totalmente ridículo. 


Todo aquello podía muy bien ser una emboscada y, según Matrix, la 
conversación no hacía más que confirmarlo. Acusar a los foros rivales de 
formar parte de operaciones encubiertas de la policía era una táctica habitual 
destinada a asustar a los miembros para que se pasasen a la competencia. 
Matrix estaba convencido de que, si los adeptos de Dark Market desertaban, 
Iceman y Carders Market los reclutarían de inmediato, y eso podía poner en 
peligro la existencia misma de Dark Market. 
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Además, silo, dystopia y cOrrupted0ne habían insistido —quizá 
demasiado— en que Matrix abriera otro archivo, comprimido con zip, 
conocido como rar. Los archivos zip son la principal fuente de transmisión de 
troyanos, y Matrix estaba seguro de que ese había sido diseñado por el equipo 
de Carders Market para aspirar todos los secretos de Dark Market de su 
ordenador. Empezó a preguntarse si Iceman y sus adláteres no estarían en la 
fase dos de un plan audaz trazado por el FBI para acabar con Dark Market. 

Eran ya las nueve y cuarto de una glacial mañana de noviembre en el 
centro de Alemania, pero Matrix sabía que debía actuar con celeridad. Sin 
perder un instante, se puso en contacto con el resto de los administradores de 
Dark Market y les avisó de que Iceman y sus lacayos estaban a punto de 
denunciar a la web: 


Matrix001: He dicho que mi rar no funciona, así que no he 
descargado el archivo ni lo he abierto. 

Matrix001: Apuesto a que es un troyano. 

Matrix001: Y si echáis un vistazo a la info que me han pasado, 
parece falsa... 

Matrix001: Pero leedla vosotros mismos... 


www.lectulandia.com - Página 119 


19 


DONNIE BRASCO 


Pittsburgh, octubre de 2006 


El agente especial Keith J. Mularski, de la División Cibernética del FBI, 
estaba consternado, y no solo porque los Steelers estuvieran haciendo una 
temporada mediocre después de su sensacional victoria en la Super Bowl. 
Como abonado al Heinz Field, el estadio de los Steelers, Mularski siempre 
había tenido muy claro que el fútbol americano no es un asunto de vida o 
muerte, sino mucho más que eso. Por una vez, sin embargo, tenía problemas 
mucho más serios. 

Cual Donnie Brasco virtual, Mularski llevaba varios meses sumergido en 
el creciente mar de delincuencia de la red. Por supuesto, su vida no había 
corrido el mismo riesgo que la del agente Joe Pistone al hacerse pasar por 
Brasco para adentrarse en la guarida de las mafias más peligrosas de Nueva 
York. Pero Mularski se las había visto y deseado para conseguir que sus 
superiores dieran luz verde a una operación sin precedentes destinada a 
infiltrarse en el ciberespacio. Su coste era elevado y entrañaba el peligro de 
una denuncia por incitación al delito. Por ello los agentes del FBI sometían a 
escrutinio todos y cada uno de sus movimientos para evitar deslices. Lo que 
había ocurrido, sin embargo, no había sido un desliz. Había sido una colisión 
frontal. 

El momento no podía ser menos oportuno. Mularski había realizado 
grandes avances sin levantar sospechas. Estaba a punto de obtener la 
colaboración de varios cuerpos de seguridad extranjeros para su plan a largo 
plazo de lanzar una espectacular serie de redadas en todo el mundo. Había 
creado un personaje con nombre y pasado, y había conseguido que, en un 
espacio de tiempo notablemente corto, muchos ciberdelincuentes dieran 
crédito a sus mentiras. Mularski se había ganado la confianza de muchos de 
sus Objetivos. 

Y ahora, por culpa de la incuria de un colega que había dejado un archivo 
con el membrete de la Alianza Nacional para la Formación Ciberforense en 
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un ordenador, corría el peligro de ser descubierto y de que aquella operación 
tan intrincada terminase en un fiasco. 

Era la primera incursión del FBI en el campo de la delincuencia 
informática. Hasta entonces, las investigaciones en ese ámbito habían corrido 
a Cargo del Servicio de Inspección Postal estadounidense y, sobre todo, del 
Servicio Secreto. En 2004, ya no cabía duda de que la delincuencia 
informática era uno de los sectores con mayor crecimiento dentro del crimen 
organizado. Cada día eran más las entidades y personas víctimas de la 
actividad de los piratas. El de las tarjetas de crédito era el problema más grave 
debido a la gran cantidad de robos y usos fraudulentos. Pero también se daban 
casos de espionaje industrial en los que los secretos comerciales de grandes 
compañías eran robados y vendidos a la competencia por parte de los mismos 
hackers involucrados en el fraude de tarjetas. La misma Cisco Systems había 
visto cómo un competidor chino robaba y copiaba los planes de su servidor 
más avanzado, lo que demostraba que ni siquiera las empresas supuestamente 
más seguras estaban a salvo. 

La falta de coherencia en materia de seguridad informática, tanto en el 
ámbito gubernamental como en el privado, empezaba a preocupar a la Casa 
Blanca, al Congreso y al Pentágono. La mayoría de los organismos y 
ministerios ignoraban su vulnerabilidad o se sentían tan impotentes frente al 
gran número de ataques dirigidos contra ellos que preferían esconder la 
cabeza en el suelo a la espera de que el problema desapareciera por sí solo. 

Quien no podía permitirse eso era el Pentágono, que todavía intentaba 
recuperarse de la «Lluvia de Titanio», una serie de ataques dirigidos contra 
los sistemas informáticos del Departamento de Defensa con origen en China 
destinados a obtener documentos secretos almacenados en archivos mal 
protegidos. 

Los grandes bancos todavía estaban tambaleándose de resultas de la 
llamada vulnerabilidad del valor de verificación del PIN, con la que Citibank 
y Bank of America habían perdido decenas de millones de dólares en efectivo 
en tiempos de Shadow Crew. Aunque el problema había sido resuelto, cientos 
de bancos seguían regalando dinero a los tarjeteros a través de los cajeros 
automáticos. 

En una palabra: caos. 

No era difícil imaginar las consecuencias. En breve, una gran porción del 
dinero de los contribuyentes empezaría a destinarse a los problemas de la 
delincuencia informática, el ciberespionaje industrial y la guerra informática, 
y ningún cuerpo de seguridad querría renunciar a su parte del pastel. Al FBI le 
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parecía excesivo que el Servicio Secreto se adjudicase tres cuartas partes de 
aquel suculento presupuesto por haberse colgado la medalla del 
desmantelamiento de Shadow Crew, razón por la que reclamaba su primacía 
en ese campo aún incipiente. 

El FBI, el mayor y más potente de los organismos de seguridad de 
Estados Unidos, se oponía a ello. Su director, Robert Mueller, deseaba 
introducirse en el terreno virtual para hacerse con los fondos, pero también 
porque su intención era remodelar el FBI para convertirlo en algo más que un 
cuerpo policial: en una agencia de inteligencia de ámbito nacional. El plan de 
Mularski no solo consistía en atrapar delincuentes, sino también en recabar 
información. Ese cambio de orientación en la cúpula ayudó a rebatir las 
objeciones de algunos de los funcionarios más veteranos, y Mularski, que no 
había escatimado medios para resaltar la importancia de su operación 
encubierta, obtuvo la autorización. El descubrimiento de Iceman, por lo tanto, 
no solo ponía la operación Dark Market al borde del precipicio; también 
estaban en juego la financiación del FBI y su capacidad para llevar a cabo 
operaciones informáticas. Sobre los hombros de Mularski pesaba una 
responsabilidad abrumadora. 

Su primera reacción fue de desesperanza. La partida había terminado, 
pensó, y su equipo, que tan duro había trabajado, tendría que humillarse y 
rendir cuentas a sus superiores, algunos de los cuales responderían diciendo: 
«¡Os lo habíamos advertido!». Pero una de las razones por las que el FBI 
había puesto a Mularski al frente de su programa de formación era su 
capacidad de reacción frente a la adversidad. Pasado el susto, decidió que no 
arrojaría la toalla sin presentar batalla. 

El destino de la familia Mularski había corrido paralelo al de Pittsburgh 
en el siglo xx. Su tatarabuelo se había embarcado en Hamburgo en 1892 y 
había llegado a Baltimore con solo un dólar en el bolsillo. Keith era un 
estadounidense de pura cepa, pero el sustrato étnico de muchas de las 
comunidades europeas de la ciudad —polaco, en el caso de Mularski— sigue 
teniendo un gran peso. 

Repartidas entre las modestas casas de madera, los cines art déco y las 
Salas de baile del hoy en día pintoresco South Side de Pittsburgh, se 
encuentran varias iglesias y centros culturales de las muchas comunidades 
eslavas —checa, polaca, serbia, eslovaca, ucraniana y oOtras— que 
confluyeron en esa ciudad estratégicamente situada en el oeste de Pensilvania. 
A principios del siglo xx, Andrij y Julia Warhola, una pareja de primos 
rutenos procedentes del rural noreste de Eslovaquia, emigraron a Pittsburgh, 
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donde se desprendieron de la a final del apellido y dieron a luz a una de las 
figuras más influyentes del arte del pasado siglo. 

Los robustos puentes de acero y las placas de la Norfolk and Western 
Railway recuerdan la decisiva contribución de Pittsburgh al predomino 
económico global de Estados Unidos en el siglo xx. Con el acero de sus 
industrias se fabricaban acorazados, aviones, automóviles y plantas 
industriales que se extendieron por el mundo entero. Sin embargo, han pasado 
varias décadas desde los tiempos en que las negras nubes provenientes de 
aquella hidra productora de acero envolvían la ciudad en las tinieblas, 
arrojando las partículas contaminantes que le valieron a Pittsburgh el número 
uno en enfermedades pulmonares del país. 

El esmog ya no nubla la ciudad y Pittsburgh se considera uno de los 
mejores lugares para vivir de todo Estados Unidos. El sol reluce y, tras quince 
años de pobreza y decadencia, en la década de 1990 la ciudad se reinventó 
como uno de los centros de producción de alta tecnología de la Costa Este. 

Mularski fue uno de los que dejaron la ciudad en los años ochenta, tras 
licenciarse en historia en la Universidad Duquesne. Por entonces, el lugar era 
un erial. Su padre podría haber sido la reencarnación de Willy Loman. 
Mularski padre fue uno de los primeros en acusar el revés en la fortuna del 
gigante, perdió su trabajo como viajante en los años setenta y nunca llegó a 
recolocarse. A partir de entonces, la familia malvivió con las ganancias de la 
madre de Keith, ayudante ejecutiva. 

La población de Pittsburgh se había reducido en un tercio durante la vida 
del joven Keith. El muchacho no estaba dispuesto a ver cómo la ciudad seguía 
declinando, de modo que se mudó a Washington con su esposa. Tras 
conseguir empleo en una gran empresa de muebles con servicio en todo el 
país, Mularski pudo demostrar sus habilidades en los campos de gestión y 
ventas. A primera vista, el trabajo como encargado de ventas parece no 
guardar relación alguna con la delincuencia informática, pero las técnicas 
aprendidas en la empresa fueron la base de su trabajo como ciberpolicía en el 
FBI. 

La «ingeniería social» —el arte de persuadir a las personas para que 
hagan cosas que a todas luces obran en contra de sus intereses— es el 
fundamento de la delincuencia informática. ¿Cómo, se pregunta el timador, 
puedo convencer a mi víctima para que me entregue su contraseña? ¿Cómo 
conseguir que abra un correo electrónico con un troyano oculto en el código? 
¿Cómo hacer que encienda el ordenador? 
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El ciberladrón tiene varias posibilidades obvias. Los dos métodos 
infalibles son las descargas de música y la pornografía. El sexo es uno de los 
incentivos más potentes; por fuerza, ya que en términos evolutivos encontrar 
pareja suele ser misión de alto riesgo. Las personas estamos dispuestas a 
afrontar peligros para satisfacer nuestros deseos sexuales, y los fabricantes de 
virus informáticos fueron los primeros en entenderlo. La promesa de un par 
de pechos suele ser suficiente para lograr que el usuario incauto pulse un 
hipervínculo que descargará un programa destructivo en su equipo. Si tiene 
suerte, será redirigido a la fotografía deseada, aunque eso rara vez compensa 
haber revelado los secretos de su ordenador a un pirata remoto y sin rostro. 
No por azar uno de los virus de mayor éxito se propagó mediante un correo 
electrónico cuyo asunto rezaba: «I Love You». 

Si bien los encargados de ventas no suelen esparcir virus, ellos, como los 
ciberladrones, son consumados ingenieros del alma humana. Su trabajo 
consiste en convencer a sus potenciales clientes para que inviertan en 
artículos que no desean o no necesitan. «Vender lo que tienes a alguien que lo 
desea no es hacer negocio —sentenció en cierta ocasión el capo mafioso 
Meyer Lansky—. El negocio es vender lo que no tienes a alguien que no lo 
desea». Como mínimo, los encargados de ventas saben persuadir a sus 
clientes para que compren los artículos más caros. De modo que, cuando el 
novato agente Keith Mularski fue aceptado en la recién creada División 
Cibernética del FBI, tenía una gran ventaja de su parte: sabía cómo ganarse a 
la gente, cómo engañarla, comprenderla, exhortarla, persuadirla, atraerla. Para 
ser policía, era un maleante de lo más convincente. 

En el año 2000, Pittsburgh había cambiado. La ciudad siempre había sido 
depositaria de grandes donaciones filantrópicas. Por todas partes eran visibles 
las huellas de Carnegie, Heinz y Mellon, los colosos de la oleada industrial de 
finales del siglo xIx y principios del siglo xx. Tras el desplome industrial, la 
ciudad, en parte, se había reinventado gracias a la inversión en informática y 
tecnología de la Universidad Carnegie Mellon, considerada como una de las 
veinte mejores instituciones de enseñanza superior del mundo. 

Fundada por el prominente industrial de origen escocés Andrew Carnegie, 
la universidad empezó su andadura como escuela técnica y, en 1967, se 
fusionó con el Mellon Institute of Industrial Research. Durante los difíciles 
años ochenta y principios de los años noventa, la Universidad Carnegie 
Mellon estudió el ocaso de Pittsburgh y pensó cómo contrarrestarlo. La 
universidad era famosa por su labor en el campo de la seguridad informática. 
Junto con el Massachusetts Institute of Technology y Silicon Valley, 
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Pittsburgh emergió como una de las mecas informáticas de Estados Unidos, 
con grandes especialistas en asuntos de seguridad. 

La presencia de la universidad explica en buena medida la conformación 
de la nueva Pittsburgh, incluida la aparición en 1997 de la Alianza Nacional 
para la Formación Ciberforense, una organización sin ánimo de lucro 
financiada por bancos y varias corporaciones cuyo objetivo era tender puentes 
entre la docencia, el sector privado, las fuerzas de seguridad y las agencias de 
inteligencia como reacción a la creciente inseguridad en la red. Esa fue la 
razón por la que, con el nuevo milenio, Keith Mularski regresó a su ciudad 
natal para trabajar en las discretas oficinas acristaladas del número 2000 de 
Technology Drive. 

Miró por su ventana del cuarto piso y pensó que él era prácticamente el 
responsable único de aquella operación del FBI. Trabajaba con un gran 
equipo, pero él era quien había convencido a los jefes, pese a su profundo 
escepticismo, de que le permitieran seguir adelante. No solo estaba en juego 
la reputación de los federales y la obtención del presupuesto, sino también su 
trabajo. 

Y entonces recordó cuál era su fuerte: las ventas. O mejor aún: la 
ingeniería social. 

Cuando los foros empezaron a transmitir la noticia de que Dark Market 
pertenecía a los federales, Mularski se tranquilizó y se recordó a sí mismo que 
la autocompasión nunca beneficia a nadie. Se puso en contacto con Grendel, 
acaso el más misterioso de los usuarios de Dark Market. En la vida real, 
Grendel trabajaba para una importante empresa de seguridad alemana, pero 
también ofrecía sus servicios contra reembolso a destacados 
ciberdelincuentes. Dark Market dependía de su red privada virtual (RPV), que 
ofrecía garantías casi absolutas de anonimato; pero, aparte de eso, Grendel 
también había creado cuatro shells, programas mediante los cuales el usuario 
se vuelve del todo invisible. 

Grendel le envió los registros de conexión a la página, en ninguno de los 
cuales se mencionaba a Pembrooke Associates. Mularski comentó tanto en 
Carders Market como en Dark Market que la única persona que había 
encontrado el registro de Pembrooke Associates era... Iceman. Utilizando sus 
técnicas de venta, Mularski el vengador apartaba de sí las miradas suspicaces 
y las centraba en Iceman. 

Las erratas del papel con membrete detectadas por Matrix001 eran la 
guinda del pastel. Iceman era de sobras conocido por su tendencia a acusar a 
la ligera a cualquiera que lo irritase, y, durante su época al frente de Carders 
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Market, casi todo el mundo lo había irritado en un momento u otro. Eso hacía 
que tuviera pocos amigos. Al mismo tiempo, la idea de que Iceman hubiera 
podido volver a las andadas como confidente de los federales arraigó sin 
dificultades, y Mularski la suscribió con entusiasmo. 

Lejos de destruir Dark Market, Iceman había logrado lo contrario. La 
página resurgió con más fuerza que nunca y obtuvo reconocimiento casi 
unánime como principal web tarjetera en lengua inglesa del mundo. Gracias a 
su ingenio, Mularski había conseguido evitar un desastre seguro. 
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UN PLAN BRILLANTE 


JiLsi no cabía en sí de contento. Carders Market y Iceman seguían en pie, 
pero medio groguis después del contraataque sufrido a raíz de sus acusaciones 
contra Dark Market. La mayoría de los tarjeteros creía ahora (erróneamente) 
que Carders Market era la web tapadera y que Dark Market estaba limpia. De 
resultas de ello, Dark Market empezó a crecer de nuevo hasta un total de dos 
mil miembros. 

Por supuesto, circulaban rumores de que tal vez, con respecto a los 
administradores de Dark Market, no era oro todo lo que relucía, pero para 
entonces las manadas de tarjeteros ya eran tan frecuentes como los «lobos 
solitarios» en los primeros días del pirateo informático. Y la manada le había 
vuelto la espalda a Iceman para correr a los pies de Dark Market. 

En diciembre de 2006, los directores de Dark Market estaban realizando 
una labor inestimable. JiLsi estaba orgulloso de sus logros, por fin se había 
convertido en un respetado miembro de la familia y su eficaz y desinteresado 
trabajo era apreciado en su justa medida. Había reunido a un gran equipo: 
Matrix, Master Splyntr y Cha0 eran administradores de primera clase y todos 
los miembros confiaban en sus servicios fiduciarios. Shtirlitz y Lord Cyric 
aportaban apoyo y credibilidad. Ambos, además, tenían buen ojo para detectar 
a rippers y tramposos, y sabían cómo tratar a los carroñeros que se criaban en 
los sumideros de la red. El volumen de negocio de los usuarios era cada vez 
mayor, y los ingresos empezaron a rozar el techo de los días dorados de 
Shadow Crew y Carder Planet. 

Habían pasado más de dos años desde la caída de Shadow Crew y se 
percibía cierta complacencia. Los «lobos solitarios», que ahora eran minoría 
en los foros, nunca bajaron la guardia y ponían sumo cuidado en no dejar 
pistas que los incriminasen. Recka, el rey del fraude en Suecia, evitaba 
escrupulosamente trabajar con tarjetas de crédito o débito estadounidenses, ya 
que eso lo hubiera puesto en la lista de las fuerzas de seguridad de ese país; 
con los suecos y el resto de los europeos no había problema, pero por nada del 
mundo les habría puesto el dedo en el ojo a los norteamericanos. 
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Pero muchos otros tarjeteros, sobre todo los más jóvenes, seguían medidas 
de seguridad más laxas, olvidaban encriptar sus conversaciones por ICQ y 
dejaban a la vista sus direcciones IP al no usar RPV ni sistemas de tunelación 
adecuados. Entretanto, en Pittsburgh, Mularski estaba ocupado en reunir una 
base de datos con un programa de creación propia, capaz de establecer 
referencias cruzadas entre las actividades de cada tarjetero; para ello, leía sus 
mensajes, anotaba sus ICQ y direcciones IP y, cuando era posible, las 
vinculaba a cuentas de E-Gold. 

Sin saberlo los usuarios de esa herramienta de divisas digitales, desde 
febrero de 2006 las agencias del gobierno disfrutaban de libre acceso a los 
archivos de E-Gold, el método de transferencia de capitales preferido por los 
tarjeteros. Todo empezó con la detención en Florida de su fundador, Douglas 
Jackson, ante la sospecha de que el servicio se utilizaba para blanquear 
dinero. Sin embargo, a pocos ciberdelincuentes (acaso a ninguno) se les pasó 
por la cabeza desconfiar de E-Gold. Los rusos, por su parte, preferían evitar 
las empresas occidentales, aunque estuvieran registradas en Belice, y confiar 
en Webmancy, con sede en Moscú y, por lo tanto, fuera del alcance de los 
agentes de la ley occidentales. 

Una vez provisto de todas aquellas pruebas, entre el otoño y el invierno de 
2006 Mularski se puso en contacto con los cuerpos de policía de varios países 
europeos. Mantuvo conversaciones con la Agencia contra el Crimen 
Organizado (SOCA) de Reino Unido, la policía federal alemana y, más tarde, 
con la policía regional de Baden-Wirttemberg. 

Asimismo, entró en contacto con la OCLCTIC de París, la Oficina Central 
para la Lucha contra los Crímenes Relacionados con las Tecnologías de la 
Información y Comunicación, órgano de creación reciente y denominación 
algo pedestre. Ahí le dispensaron un trato más bien frío. La policía francesa 
suele colaborar de buen grado con Estados Unidos, sobre todo en asuntos de 
terrorismo y delincuencia informática, pero la tradicional suspicacia con 
respecto a los norteamericanos y sus intenciones en Europa está todavía muy 
arraigada en la sociedad francesa. Cualquier gobierno que dé la impresión de 
querer quedar bien con Estados Unidos corre el peligro de pagarlo en el 
terreno electoral, por lo que sus instituciones tienen orden de andarse con pies 
de plomo a la hora de tratar con Washington. 

El director de la OCLCTIC, Christian Aghroum, consideraba ridículo que 
cada vez que él o sus agentes solicitaban ayuda a una empresa como 
Microsoft se arriesgaran a una protesta, como si ello fuera la prueba de que la 
policía estaba al servicio de las grandes corporaciones estadounidenses. La 
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realidad —y Aghroum lo sabía— era que nadie podía combatir la 
delincuencia informática a menos que mantuviera cierto grado de 
colaboración con empresas como Microsoft. Observador lúcido y perspicaz 
de los campos de minas que rodean la política internacional, Aghroum 
aceptaba con resignación el hecho de que ni los políticos ni la ciudadanía de 
Francia tenían la menor idea sobre la ciberdelincuencia ni sobre cómo 
combatirla. La mayoría de los franceses parecía convencida de que es posible 
luchar y reprimir la delincuencia transnacional sin salir de las propias 
fronteras, sobre todo cuando los delincuentes en cuestión no hablan francés. 

Pero Mularski había de encontrarse con una sorpresa mucho mayor que el 
proverbial antiamericanismo galo: según le dijeron, la OCLCTIC llevaba 
varios meses colaborando con el Servicio Secreto en un caso relacionado 
con... Dark Market. Alguien estaba realizando una investigación paralela y 
nadie lo había informado al respecto. Por si fuera poco, el Servicio Secreto no 
daba muestras de querer compartir la información de que disponía. Pocos 
meses antes, el director de la División de Investigaciones Criminales del 
Servicio de Inteligencia había testificado ante el Congreso que, gracias a la 
estrecha colaboración con «otros cuerpos federales, estatales y locales, [...] 
disponemos de una vasta red de información, recursos y conocimientos 
compartidos». Por lo visto, olvidó hacérselo saber al equipo que investigaba a 
Dark Market, ya que este incluso se negó a informar al FBI de cuál era el 
objeto de sus pesquisas. Las cosas se complicaban tanto para los ciberpolicías 
como para los ciberladrones. 

Por entonces, la gran preocupación de los usuarios de Dark Market (a 
excepción de los que colaboraban con Mularski) no eran los agentes de la ley, 
sino cómo librarse de una vez por todas de Iceman para consolidar la 
supremacía de la web. JiLsi se arrogó la responsabilidad de asestar el golpe 
definitivo. Si lo lograba, se llevaría la gloria y su reputación aumentaría 
considerablemente. Por otro lado, estaba harto de las continuas incursiones de 
Iceman, que tanto trabajo extra le acarreaban, y la incendiaria retórica 
característica del hacker también empezaba a atragantársele. 

El plan de JiLsi era muy simple. Creó una cuenta de correo anónima para 
mandar mensajes al proveedor de servicios de internet de Iceman. En ellos 
advertía al PSV que Carders Market, página a la que daba alojamiento, era 
una web delictiva y que sus propietarios se hallaban involucrados en estafas 
de gran calibre. Cuando Iceman descubrió la cuenta desde la que se enviaban 
los correos inculpatorios, se le ocurrió probar la contraseña de JiLsi 
(«MSR206», el nombre de la legendaria máquina clonadora de tarjetas que 
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utilizaban todos los buenos tarjeteros), y —¡voila!— funcionó. Iceman había 
descubierto que JiLsi estaba difamándolo ante su propio PSV. Aquello era 
imperdonable. JiLsi había traspasado una línea que ningún tarjetero 
(des)honesto debería cruzar nunca, por malas que sean sus relaciones con 
nadie: había denunciado a un miembro de la hermandad. Peor aún: había sido 
descubierto en plena delación. 

Iceman hizo circular la noticia por todas partes. Al poco tiempo, llegó a 
oídos de Cha0. 

Después de las acusaciones de Iceman, todo el mundo estaba aún un poco 
nervioso. ¿Estarían implicados los federales? Y lo que es más: si lo estaban, 
«¿quién cojones estaba trabajando con ellos?», por decirlo con palabras de 
uno de los administradores de Dark Market. ¿Iceman, Splyntr, cOrrupted0One o 
silo, de Dark Market? ¿Shtirlitz, el enigmático «ruso»? ¿O quizá Lord Cyric, 
el nuevo moderador de Dark Market? ¿Tal vez otra persona? 

Los únicos a los que hasta el momento nadie había acusado de trabajar 
para la policía eran Matrix001 y JiLsi. Este último había sido acusado alguna 
que otra vez de incompetente (y no sin razón), pero ¿de trabajar para la 
policía? Nunca. Iceman conocía la contraseña de JiLsi desde hacía tiempo 
gracias a sus incursiones pirata, pero ahora parecía ser de dominio público. 
Cundió la sospecha de que una tercera persona hubiera podido introducir un 
troyano en el inseparable lápiz de memoria de JiLsi y vigilar todos sus 
movimientos, lo que le habría permitido conocer los secretos más recónditos 
de Dark Market. O quizá JiLsi no era quien decía ser... ¿Mantendría algún 
tipo de vínculo con Pembrooke Associates, la misteriosa empresa del 2000 de 
Technology Drive? 

Unos días antes de la Navidad de 2006, JiLsi se conectó a Dark Market 
como de costumbre para echar un vistazo al tráfico. Poco después, se 
desconectó para atender unos recados en el mundo real. Por la tarde volvió a 
conectarse. «Nombre de usuario: JiLsi —tecleó—. Contraseña: MSR206». 
Acto seguido, la máquina le devolvió el siguiente mensaje: «Nombre de 
usuario o contraseña incorrectos». Sin darle importancia, JiLsi volvió a 
intentarlo, achacándolo a un error de tecleo. El resultado fue el mismo. Lo 
intentó otra vez, y otra, y otra. 

No cabía ninguna duda: JiLsi, líder espiritual y administrador jefe de Dark 
Market, había sido expulsado de su propia web. Estremecido de pánico, 
intentó conectarse a www.mazafaka.ru. Imposible. A The Vouched —otra de 
sus webs—,; nada. 
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De pronto empezó a temblar. JiLsi jamás se había encontrado ante un 
abismo tan profundo. Acababan de robarle la vida entera, o por lo menos lo 
único que de verdad tenía sentido para él. Estaba furioso, dolido, disgustado. 
¿Quién le había hecho eso y por qué? Reaccionó entregándose a las 
propiedades anestésicas del Martell y la pipa de crac. El dolor remitió durante 
la tarde y la noche, pero cuando se despertó se sentía más desgraciado aún 
que el día anterior. 

Finalmente, JiLsi consiguió establecer contacto con Cha0 por ICQ. La 
conversación lo dejó fuera de juego: «Sabemos que has estado trabajando 
para Scotland Yard y la Unidad de Crímenes Tecnológicos —le espetó Cha0 
—. Que decidieras delatar a Iceman no hace más que confirmarlo. Sabemos 
que trabajas con la policía. Has sido expulsado de todas la webs». 

JiLsi se quedó sin habla. Todo aquello por lo que había trabajado había 
desaparecido en un abrir y cerrar de ojos, y, por si fuera poco, quien lo pagaba 
era él. ¿Qué sería lo siguiente? ¿Adónde ir? La situación era desesperada y 
JiLsi se sentía impotente. 
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DRON: EL LEGADO 


Calgary, Alberta, 2006 


Desde sus primeros días en Shadow Crew, el trabajo de Dron siempre le había 
reportado comentarios elogiosos. «Recibí la clonadora de Dron ayer por la 
mañana —comentaba en Dark Market un cliente satisfecho—. Pasé la tarde 
probándola y estoy más que impresionado. El material de Dron es de primera 
Calidad, vale la pena invertir tiempo y dinero en él». 

Dron no defraudaba a sus clientes: «El envío fue rápido, y el paquete era 
discreto», seguía el comentario. Pero si Dron se había hecho popular, no era 
gracias a sus envíos, sino por la atención posterior que dispensaba a sus 
clientes, que siempre acababan repitiendo: «Pero, en mi opinión, si en algo 
destaca Dron, es en el servicio al cliente. Envía actualizaciones a sus 
compradores con regularidad y siempre que le escribo con inquietudes o 
dudas recibo contestación en menos de veinticuatro horas. Impresionante de 
verdad». 

En parte gracias a internet, la cultura de los derechos y expectativas del 
consumidor ha terminado haciéndose un hueco en el mundo de la 
delincuencia. Si un vendedor tima a un delincuente por internet, no es fácil 
encontrar al culpable para emplear con él el método por el que suele 
expresarse el descontento por un servicio deficiente, esto es, la violencia 
física. Pero los delincuentes que se dedican a la venta de productos ilegales 
por internet prefieren competir viendo quién ofrece mejor servicio. 

En otra época, Dron habría medrado a toda velocidad. Había dejado la 
escuela a los quince años, pero combinaba su olfato para los negocios con 
cierta vena creativa. Su padre le enseñó a jugar a la bolsa por internet y, poco 
después, descubrió los foros de delincuencia informática. En la primavera de 
2004, con veinticuatro años, ingresó en Shadow Crew, el más celebrado entre 
los predecesores de Dark Market. 

Sin embargo, su mayor distintivo era una habilidad innata en temas de 
ingeniería. Aprendió solo y desde cero a diseñar y construir clonadoras 
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compatibles con los dos modelos más comunes de cajero automático. Eran 
dispositivos complejos e intrincados, pero valían hasta el último centavo de 
los cinco mil dólares que costaba cada uno (con descuentos por compras en 
grandes cantidades, por supuesto). Dron no solo atendía las consultas de sus 
clientes, sino que enviaba cada producto acompañado de un manual de 
instrucciones, el software requerido y un cable USB. 

También su biblioteca daba fe de la seriedad con que enfocaba el negocio. 
Al lado de Document Fraud and Other Crimes of Deception podían 
encontrarse Holograms and Holography y Secrets of a Back Alley ID Man. 
Pero seguramente su volumen más preciado era Methods of Disguise. Cuando 
pasaba por una de las muchas cafeterías de internet de la ciudad para 
gestionar sus ventas y negocios en la red, Dron solía llevar gorra de béisbol y 
chaqueta negras. En cambio, cuando iba a la oficina de correos o cuando 
retiraba el dinero de una tarjeta de crédito en pago por una de sus clonadoras, 
prefería gorra roja y cazadora azul. 

El Servicio Secreto estadounidense le había echado el ojo a Dron por su 
importante presencia en Shadow Crew. El administrador de Shadow Crew, 
CumbaJohnny, era un confidente del Servicio Secreto, pero Dron no 
pertenecía a la red privada virtual de CumbaJohnny, el medio principal por el 
que el Servicio Secreto controlaba la actividad de los miembros de la página. 
Como no residía en Estados Unidos ni era un objetivo fácil, no formaba parte 
de la lista de prioridades. Pero el Servicio Secreto no se olvidó de Dron. Al 
contrario, empezó a trabar relación con él. 

Pese a su juventud en comparación con el Servicio de Inspección Postal 
estadounidense, el Servicio Secreto es el cuerpo que lleva más tiempo 
luchando contra la delincuencia telemática. Se formó en 1865, pero no para 
proporcionar protección armada al presidente, que fue uno de los principales 
reproches que le dirigió el Congreso tras el asesinato del presidente McKinley 
en 1901. Su fin originario, y lo es todavía hoy, era descubrir, investigar y 
perseguir a los productores o traficantes de dinero falso. Poco después de su 
fundación, el Congreso le encomendó asimismo las investigaciones de fraude 
financiero. 

Tras la segunda guerra mundial, los acuerdos de Bretton Woods asentaron 
a Estados Unidos como líder indiscutible de las economías occidentales e 
instituyeron el dólar como moneda de reserva del mundo capitalista. Aunque 
la Unión Soviética y China rechazaron la preeminencia del dólar, las dos 
superpotencias comunistas se lanzaron a acumular el máximo de billetes 
verdes posible. En un mundo en el que la mayoría de los gobiernos 
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controlaban con mano de hierro el flujo de divisas a través de sus fronteras, la 
omnipresencia del dólar como forma de pago hizo que muchos se sintieran 
tentados de falsificar moneda estadounidense. 

El resultado, en vista de que granujas y gobiernos del todo el mundo 
intentaban enriquecerse o socavar el poder norteamericano imprimiendo 
dólares por cuenta propia, fue la internacionalización de las operaciones del 
Servicio Secreto. Dondequiera que se encuentre, el lector de este libro puede 
estar seguro de que sus agentes se hallan en las proximidades. Sin embargo, y 
a pesar del largo brazo del Servicio Secreto, existen rincones a los que ni 
siquiera él puede llegar; buen ejemplo de ello es la difusión del «superdólar» 
en la década de 1990. Según el gobierno estadounidense, aquellos billetes de 
cien dólares falsos, aunque de extraordinaria semblanza, salieron de las 
prensas de Corea del Norte, una de las zonas que escapan a la vigilancia de 
los hombres de negro. 

Por si salir al paso de las balas del presidente y perseguir billetes de pega 
no fueran trabajos lo bastante duros, en 1984 el Congreso solicitó ampliar las 
actividades del Servicio Secreto para incluir en ellas la investigación de 
fraudes con tarjetas de crédito y débito, la falsificación de documentos y el 
fraude informático. 

A lo largo de las dos décadas siguientes, el que en cierto modo es el 
organismo de seguridad más secreto de Estados Unidos se especializó en la 
ciberdelincuencia, y adquirió una capacidad operativa sin parangón. Sin 
embargo, el Servicio Secreto solo tiene en nómina a seis mil quinientas 
personas. El FBI, por ejemplo, dispone de una plantilla de casi treinta mil. 
Recientemente, el Servicio Secreto ha sido absorbido por el Departamento de 
Seguridad Nacional, lo cual ha hecho estragos en su amor propio. Ambos 
cuerpos no se soportan, aunque es difícil saber si a causa del complejo de 
inferioridad del Servicio Secreto o de los delirios de grandeza del FBI; 
probablemente un poco de cada. Sea cual sea la razón, las riñas son constantes 
y repercuten en el resultado de las operaciones. 

Tras la desarticulación de Shadow Crew, el Servicio Secreto decidió 
cultivar la relación con Dron, quien a finales de 2005 se había unido a Dark 
Market, donde su reputación como vendedor de clonadoras aumentó a tal 
velocidad que pronto creó su propio sitio web: www.atmskimmers.com. 
Durante varios meses, la oficina del Servicio Secreto en Búfalo se consagró a 
dar con su paradero. Dron utilizaba el servicio de correo israelí Safemail 
porque sabía que la compañía bloqueaba la dirección IP del remitente, lo cual 
significaba que el destinatario no podía acceder a él. El Servicio Secreto dio 
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por fin un paso adelante en enero de 2006, cuando Safemail accedió a revelar 
las direcciones IP de Dron después de que la solicitud del Servicio Secreto 
lograra abrirse paso en el inaccesible sistema penal israelí. Dron, según se 
supo entonces, operaba desde varios ordenadores repartidos por la zona de 
Calgary, en la petrolífera provincia de Alberta. 

Los dieciocho meses siguientes fueron agotadores para el detective 
Spencer Frizzell, del cuerpo de policía de Calgary. Cada vez que Dron 
enviaba un correo al agente encubierto, Safemail enviaba una dirección IP a 
las oficinas del Servicio Secreto en Búfalo y Vancouver, que desde ahí era 
remitida a Frizzell. Las direcciones correspondían siempre a alguna cafetería 
de internet. Cuando se obtenía la localización exacta, el pájaro, naturalmente, 
ya había volado. Hasta hacerse con aquel caso, el detective Frizzell 
desconocía la existencia de tantas cafeterías de internet en Calgary y lo 
populares que eran. Cuanto más pasaba el tiempo, más le parecía estar 
buscando una aguja en un pajar. 

Durante meses, dio la impresión de que Dron seguía patrones aleatorios. 
Un día aparecía en una cafetería; al día siguiente, en otra a cinco kilómetros. 
A veces desaparecía de Calgary y surgía el temor de que hubiera abandonado 
la ciudad, aunque siempre terminaba reapareciendo. Al cabo de unos meses, 
Frizzell hizo un gran descubrimiento. Gracias a las banderitas que iba 
colocando en un mapa, se percató de que todas las cafeterías de internet de 
Dron se hallaban cerca de las paradas de tren de cercanías, en la línea que va 
de Somerset a Crowfoot. Se fijó asimismo en dos o tres locales que Dron 
parecía preferir. 

Con esa información ya podía enviar un equipo se seguimiento, pero 
encontró las típicas objeciones con que tropiezan todos los ciberpolicías en 
cualquier parte del mundo. ¿Quiénes son las víctimas en Calgary? ¿Qué 
pruebas hay de que esté lucrándose con una actividad delictiva? 

Frizzell obtuvo la autorización, pero solo por un tiempo limitado y con 
muy pocos recursos humanos. Generalmente, cuando el Servicio Secreto le 
avisaba que Dron estaba en línea, se llevaba al primero que encontraba en la 
oficina y se dirigían a algún lugar de la línea del ferrocarril. 

El detective de Calgary realizó una labor heroica durante más de un año, 
descartando sospechosos hasta convencerse de que había dado con su hombre. 
Lo que no sabía era que él no era sino un apéndice más de una operación a 
mayor escala del Servicio Secreto que no solo incluía a Dron, sino también a 
varios objetivos en Europa. El Servicio Secreto estadounidense había 
contactado con la SOCA de Londres y el OCLCTIC de París. «Nosotros 
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operamos así —afirma Edwin Donovan, portavoz del Servicio Secreto—. Nos 
esforzamos al máximo por colaborar con las policías de todo el mundo. 
Acudimos al cuerpo responsable de ese tipo de delitos y le informamos de que 
perseguimos a tal objetivo. Evidentemente, compartir la información es 
determinante en casos como estos». 

Como se ve, el Servicio Secreto compartía información con las policías de 
Gran Bretaña, Canadá y Francia, pero no con sus colegas del FBI. Las 
evidentes rencillas entre los dos cuerpos llenaban de estupor a los europeos; a 
fin de cuentas, Francia colaboraba con el Servicio Secreto; Alemania, con el 
FBL y Gran Bretaña mantenía un diplomático equilibrio entre ambos. Este 
estado de cosas desembocó en una situación sumamente irónica, en la que los 
únicos que sabían que el FBI y el Servicio Secreto tenían las miras puestas en 
la misma persona —JiLsi— eran los miembros de una fuerza policial 
extranjera, la Agencia contra el Crimen Organizado de Londres. La situación 
se deterioró más aún cuando la SOCA descubrió que, de hecho, los agentes 
encubiertos de un cuerpo eran considerados como presuntos delincuentes por 
parte del otro. Al final, un funcionario británico tuvo la sensatez de señalar a 
una instancia superior de Washington que quizá el FBI y el Servicio Secreto 
debían dejar de lado sus diferencias, por lo menos mientras durase la 
investigación. 
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MUCHACHO, ESTÁS JODIDO 


Baden-Wiirttenberg, 2007 


Era una tarde apacible de principios de mayo, pero Matrix001 no estaba de un 
humor muy primaveral. El mundo exterior se hundía, tenía la boca seca y sus 
ojos recorrían el mensaje una vez más: 


Tu teléfono fijo está intervenido. 

La policía de Gran Bretaña, Alemania y Francia va a por ti. 
[...] Esconde las pruebas. Avisa a los demás. [...] Los polis 
saben que Matrix-001 es Detlef Hartmann de Eislingen [...]. 

Dentro de unas semanas la policía actuará en Gran Bretaña 
y Francia [...]. 

Avisa al máximo de tarjeteros posible. 


¿Qué significaba eso? ¿De quién provenía el mensaje? Examinó otra vez la 
dirección del remitente: auto432221(Whushmail.com. Seguramente una 
dirección creada de forma aleatoria. Imposible averiguar mada sobre el 
emisor, excepto que parecía poseer un buen dominio del inglés. 

Matrix decidió que lo mejor era consultar con los demás administradores 
de Dark Market y un par de confidentes más. ¿Por qué le hacían eso”, les 
preguntaba. Sus respuestas, sin embargo, fueron extrañamente anodinas, en 
algunos casos casi indiferentes, meras invitaciones a mantener los ojos 
abiertos. 

En Pittsburgh, Keith Mularski no se sentía ni mucho menos indiferente. 
Los extractos que Matrix les había enviado a él y a los demás solo podían 
significar una cosa: que alguien había filtrado la noticia de la operación. Y si 
Matrix había recibido una filtración, ¿quién más podía estar recibiéndolas? El 
momento no podía ser más inoportuno, ya que el FBI llevaba varios meses 
planificando la primera oleada de detenciones contra el entorno de Dark 
Market. Bastante tenía con lidiar con el Servicio Secreto. La policía alemana 
del estado federado de Baden-Wiirttenberg (la LKA) había oído que sus 


www.lectulandia.com - Página 138 


colegas franceses estaban preparando un operativo relacionado con Dark 
Market, pero los franceses les habían vuelto la espalda diciendo que su 
presencia en una reunión de planificación celebrada en París con la SOCA y 
el Servicio Secreto no era necesaria. 

El mensaje anónimo recibido por Matrix001 tuvo a las fuerzas de policía 
con el corazón en un puño durante varios meses. Necesitaban saber si la 
filtración era resultado de una negligencia o de un topo, o si podía ser incluso 
que un hacker hubiera penetrado en alguna de las redes de los equipos de 
investigación. Cada vez que algo salía mal, afloraba la sospecha de que 
pudiera haber un traidor en sus filas, y la moral no podía por menos de 
resentirse. 

Los intentos de Mularski por coordinar las primeras detenciones estaban 
hallando dificultades. Todo ciberpolicía teme que, al atrapar a un estafador, la 
noticia de que algo marcha mal se propague como la pólvora por los foros y 
los demás objetivos se esfumen. De aquí el obsesivo secretismo del Servicio 
Secreto... 

«Espera un segundo —pensó Mularski—, seguramente la fuente de la 
filtración es... ¡el Servicio Secreto!». Examinó con atención a los posibles 
culpables: a) el Servicio Secreto; b) alguien de su propio equipo, cosa 
improbable dado que el FBI había incrementado la seguridad desde que 
Iceman descubriera la participación de los federales; c) la SOCA, que conocía 
a Matrix, aunque los británicos se caracterizan por su hermetismo, y d) por 
supuesto, los alemanes. Carecía de elementos de juicio acerca de los 
alemanes, pero le parecía haber detectado una relación un tanto tensa entre la 
fuerza regional de Stuttgart y la policía federal de Wiesbaden —a un par de 
horas de carretera en dirección norte—, dos cuerpos que conocían la 
existencia del caso Dark Market. 

Por el momento lo mejor era dejar las especulaciones a un lado. La 
preocupación inmediata de Mularski era ponerse en contacto con Frank 
Eissmann, de la policía regional de Stuttgart, y ver cómo iba la investigación 
sobre Matrix antes de que el joven alemán pudiera poner tierra de por medio. 
En Stuttgart eran partidarios de dar un paso adelante y Eissmann propuso una 
fecha para la detención de Matrix. Eso, a su vez, creaba problemas a las 
policías de Londres, Calgary y París, que en la reunión en Londres a 
principios de abril habían acordado echar el guante a sus sospechosos el 
mismo día: el 12 de junio. La SOCA se sentía algo incómoda porque el 
Servicio Secreto llevaba vigilando a JiLsi desde los tiempos de Shadow Crew. 
Tanto los federales como el FBI no veían la hora de atraparlo. 
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Sin embargo, Matrix no escapó. De hecho, las conversaciones y los 
correos que la policía alemana interceptaba indicaban que el mensaje 
anónimo no lo había inmutado. ¿Habría sido prematura la decisión de acelerar 
la detención de Matrix? 

Justo una semana después del primer correo, el 10 de mayo, recibió un 
segundo mensaje. Esta vez el emisor era auto496064(0hushmail.com, que 
parecía un tanto molesto: 


Muchacho, estás jodido. 

Nuestra red os mandó un aviso a los tarjeteros alemanes, y 
¿qué haces? ¡Hablar con el puto FBI! 

Eres tan imbécil que te mereces ir a la cárcel. 

El caso es que hemos interceptado varias comunicaciones 
entre el FBI y un alemán que se hace llamar Iceman. Te han 
puesto un cebo a través de un poli infiltrado que está a la espera 
de que compres o vendas algo. Todavía no sabemos su nombre. 
Pero quizá tú puedas ayudarnos a desmontar su tapadera. 

Y hazte un puto favor. Hasta que no sepamos quién es el 
poli infiltrado, no le compres nada a nadie. 

Como has sido tan listo de decirle al FBI que estamos en 
guardia, ¡es posible que ataquen antes! Borra toda la 
información de tu ordenador personal, aunque esté encriptada, y 
haz el puto favor de usar solo los de las cafeterías de internet. 


Matrix se resistía a creer lo que decía la carta e hizo caso omiso de ella. Se 
convenció de que todo aquello era una farsa, como lo del caso Iceman. La 
policía, sin embargo, estaba cada vez más nerviosa. Como la conexión de 
Detlef Hartmann estaba intervenida, cuando este abrió el correo la policía 
también pudo leerlo. Frank Eissmann (a quien el misterioso auto496064 
confundía con Iceman) no podía creer que hubiera alguien vigilando todas las 
comunicaciones de Dark Market. Los agentes empezaron a temer que toda la 
investigación sobre Dark Market pudiera haber sido pirateada y que los 
villanos estuvieran al corriente de lo que la policía sabía. 

Mularski tampoco sabía qué pensar. Aunque había descubierto una 
anomalía importante: el anónimo autor del correo dominaba perfectamente el 
inglés, pero escribía favour con u, así que no podía ser estadounidense. 
¿Quién podía ser? 
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FALLO DE MATRIX 


29 de mayo de 2007. Empezaba el martes para los habitantes de Eislingen, 
una de las incontables poblaciones anónimas de Alemania donde la avería de 
un semáforo o la desaparición de una vaca pueden convertirse en la noticia 
del mes. Eislingen sigue una rutina que rara vez se interrumpe. En Alemania, 
la vida empieza una hora o dos antes que en Gran Bretaña o en Estados 
Unidos. A las seis y media de la mañana ya puede verse un reguero de 
personas de camino al trabajo o parando en alguna de las cafeterías de la 
cadena Tchibo. Ahí intercambian chismorreos mientras toman café cortado 
con un repugnante chorro de leche condensada, compensado gracias a las 
cremosas tartas o los Weggle de jamón ahumado (rollos de pan en el 
incomprensible dialecto suabo). 

Y, sin embargo, aquel estaba destinado a ser un día especial en Eislingen. 
El siglo xx1I estaba a punto de irrumpir. En la calle H., Detlef Hartmann se 
levantó de la cama sabiendo que debía hacer algo importante, aunque no 
lograba recordar qué. Mientras las brumas de su cabeza se disipaban, revisó 
su Cuenta de Hushmail para ver si había mensajes encriptados y escaneó su 
página web por si necesitaba mantenimiento. No encontró nada fuera de lo 
normal. 

De pronto se acordó. Sus padres volvían de pasar las vacaciones en 
Austria. Todo el mundo a sus puestos: él y su hermano tenían solo un día para 
limpiarlo todo. Los espaguetis resecos se agarraban a los platos como si 
fueran cemento industrial; montañas de colillas llenaban los ceniceros 
repartidos sin orden ni concierto entre latas de cerveza, botellas y prendas de 
ropa no identificadas; un buen cuadro, como el que pintan todos los 
adolescentes a la que se los deja sueltos. Detlef decidió darse un baño rápido 
antes de ponerse con la limpieza, y estaba secándose cuando llamaron a la 
puerta. Dio un grito para pedirle a su hermano que abriera. 

La irritación de Detlef por verse importunado a las nueve y media de la 
mañana no hizo sino aumentar cuando su hermano gritó algo acerca de la 
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firma de un recibo. Detlef bajó la escalera a grandes zancadas dispuesto a 
discutir con la cartera por haberse equivocado de dirección. «Habla con ella», 
dijo con impaciencia su hermano, que temblaba ligeramente por la corriente 
de aire, mientras Detlef se abría paso hasta el vestíbulo. 

«Ese coche está mal aparcado», pensó con su sagacidad habitual al ver 
una furgoneta negra estacionada en la calle. Delante de la furgoneta estaba la 
cartera. Llevaba una corbata atada con un nudo pequeño y ceñido y, en la 
Cabeza, una rígida gorra con visera. Daba la impresión de ser una trabajadora 
concienzuda. 

La cartera hizo casi una reverencia al entregarle a Detlef un sobre de 
tamaño A4 con una mano y un bolígrafo con la otra. Al ir a coger el bolígrafo, 
ella retrocedió de forma abrupta. «¿Qué demonios...?», pero antes de que 
Detlef pudiera terminar de pensar la frase, cuatro hombres se abalanzaron 
sobre él y lo echaron al suelo con las manos en la espalda. «¡Queda 
detenido!», gritó uno, mientras, como salido de la nada, otro grupo de agentes 
entraba en la casa. Detlef se quedó donde estaba, vestido solo con la parte 
inferior del pijama. Llovía y hacía frío, unos diez grados centígrados. Sintió 
que una bota le presionaba el cuello contra el suelo y unas esposas de plástico 
se hundían en su piel, mientras él no dejaba de repetir: «¿Se puede saber qué 
pasa?», con la sensación de estar metido en una película de serie B. 

Diez minutos después estaba sentado delante del detective Frank 
Eissmann, de la LKA de Baden-Wiirttemberg. El agente contemplaba con 
ojos sombríos los detritos de la cocina, el epicentro de aquel caos adolescente. 
«Dios bendito, esto está hecho una pocilga», observó el detective. Detlef, a 
modo de explicación, dijo que sus padres estaban de vacaciones. «Se nota», 
murmuró Eissmann para sus adentros. 

A continuación, el agente y el detenido pasaron unos minutos en silencio. 
El único ruido perceptible era el castañeteo de los dientes de Detlef. La puerta 
se había quedado abierta y, después de su paso por la lluvia, su temperatura 
corporal había caído en picado. «¡Los ordenadores siguen encendidos!», gritó 
de pronto alguien desde el piso de arriba. 

Detlef comprendió por fin lo que ocurría. Sobreponiéndose al frío y la 
confusión, pensó a toda prisa y le preguntó al agente si podía ponerse algo de 
ropa. La pregunta tenía sentido, pues estaba aterido de frío. Eissmann vaciló. 
Muy bien, convino y, advirtiéndole que constituía una irregularidad, permitió 
que el muchacho fuera a vestirse. 

Mientras subía las escaleras, el cerebro de Detlef no dejaba de repetir: 
«¡Apaga el ordenador! ¡Apágalo! ¡Desconéctalo! ¡Desconéctalo!». Detlef 
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sabía que la policía no conocía su contraseña, de modo que, si conseguía 
deshabilitar el ordenador, no podrían encontrar pruebas. En principio, 
mientras no obtuvieran la contraseña, no podrían demostrar nada. 

En la habitación, uno de los colegas de Eissmann miraba el ordenador con 
los brazos separados como un guardameta para proteger el equipo de posibles 
interferencias. Al ir a ponerse una camiseta, Detlef tropezó y tiró del cable de 
alimentación, sacándolo del enchufe. El zumbido cesó. «¡Mierda, mierda! — 
gritó el agente—. El ordenador se ha apagado». Eissmann subió corriendo a la 
habitación. «Muy bien. Ahora sí que la has hecho buena; será lo último que 
hagas en una buena temporada», dijo, arrastrando a Detlef de vuelta a la 
cocina. Eissmann le puso delante un folio escrito en jerga oficial. Lo único 
que recuerda Detlef es que, garabateado a mano, ponía: «Sospechoso de 
formar parte de un grupo criminal organizado». 

Aunque estaba que echaba truenos por la boca, el detective Eissmann 
permitió que Detlef conversara brevemente con su hermano. Le dijo que no se 
preocupase, que todo se arreglaría. El hermano no decía nada, pero lo miraba 
como si estuviera chiflado. Por último, antes de salir de la casa, Eissmann le 
preguntó a Detlef si quería llevarse algo. «¿Podría decirme qué puedo 
necesitar? —preguntó Detlef, algo perplejo—. Nunca me había ocurrido una 
cosa así antes». 

Mientras miraba por la ventanilla del coche patrulla de camino a la 
comisaría, Detlef se acordó de los dos correos anónimos recibidos un par de 
semanas antes. ¿En qué estaría pensando? ¿Por qué no había reaccionado? De 
todos modos, no estaba muy seguro de qué podría haber hecho. No era ningún 
matón con casas francas y redes mafiosas a su disposición, sino un estudiante 
joven y más bien cándido. Apenas si sabía qué era una «conspiración» y 
mucho menos qué implicaba formar parte de ella. 

Detlef seguía cavilando cuando el coche patrulla se detuvo delante de un 
gran edificio blanco al fondo de la calle Asperger —nombre muy apropiado 
—, en el distrito de Stammheim de Stuttgart, la capital de Baden- 
Wirttemberg. De haber alzado la vista hacia una de las ventanas de la última 
planta, habría visto la celda donde Ulrike Meinhof, la carismática líder de 
Fracción del Ejército Rojo, un grupo terrorista de izquierdas de los años 
setenta, se ahorcó en 1976. 

Más tarde el presidio de Stammheim se había reconvertido en prisión solo 
para hombres, aunque la agente que lo acompañaba era una mujer. En cuanto 
los reclusos la vieron, empezaron a gritarle obscenidades desde sus celdas. 
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A cada paso, el miedo de Detlef ante su nueva situación iba en aumento. 
¿Cómo era posible que un respetable muchacho de clase media se encontrara 
en esa tesitura? Había terminado la escuela con notas sobresalientes y estaba 
preparándose para la universidad. Sus padres lo adoraban y agradecían la 
ayuda que les prestaba con sus tres hermanos menores. Y ahora aquel 
muchacho inofensivo de Eislingen se encontraba en Stammheim, el centro 
penitenciario de peor fama de toda Alemania. Tras desnudarlo y cachearlo, 
los celadores le entregaron unas prendas de recluso varias tallas más grandes, 
pero no zapatos. El nuevo pijama le iba tan holgado que parecía un traje de 
pesca de río. Llegó la hora de comer, pero seguía sin hacerse a la idea de que 
había entrado ahí para quedarse. Estaba conmocionado. Poco a poco, empezó 
a comprender que aquella era la etapa final del breve viaje que había 
comenzado cinco años antes. El día anterior había cumplido veintiún años. 
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LA CONEXIÓN FRANCESA 


Marsella, junio de 2007 


Dado que habían perdido toda clase de contacto, las dos agencias de 
seguridad estadounidenses llevaron a cabo los operativos contra Dark Market 
en paralelo. Con la supervisión del Servicio Secreto, el detective Spencer 
Frizzell arrestó a Dron en Calgary cuatro días antes de que en el sur de 
Alemania se produjera la detención de Matrix, respaldada por el FBI. 

Frizzell llevaba semanas acortando la lista de «sospechosos habituales» 
mediante visitas a las incontables cafeterías de internet desde las que Dron 
había trabajado. Finalmente, identificó a aquel muchacho de veintiséis años 
de aspecto normal y corriente que, según el día, usaba uno u otro de sus tres 
uniformes «informales». El objetivo vivía en un apartamento decente del 
centro de Calgary, bien comunicado, como era evidente, por la línea de tren 
ligero. 

Sin embargo, ni el agente Frizzell ni el Servicio Secreto estaban 
preparados para lo que se les venía encima. El sospechoso, Nicholas Joehle, 
tenía un centenar de clonadoras en proceso de fabricación. Si las hubiera 
vendido todas, se habría embolsado quinientos mil dólares y habría obtenido 
cientos de tarjetas en blanco y hologramas listos para ser falsificados. 
Naturalmente, la mera posesión de esas máquinas no constituye delito, pero 
Frizzell podía dar fe de que Joehle había ganado unos cien mil dólares con su 
venta durante el periodo investigado, algo menos de doce meses. 

Claro que una cosa es detener a alguien porque se sospecha que lleva a 
cabo actividades ilegales en internet y otra muy distinta ordenar las pruebas 
para poder presentar cargos. La naturaleza virtual y transnacional de la 
ciberdelincuencia provoca a menudo que la fiscalía rechace el caso y dificulta 
su exposición ante un tribunal. Fuera de Estados Unidos, las condenas 
impuestas en esta esfera aún embrionaria de la ley suelen ser más breves que 
las de los delitos convencionales, lo cual significa que las fuerzas policiales se 
ven obligadas a invertir abundantes recursos para obtener resultados más bien 
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discretos. El problema con alguien como Dron es que su éxito lleva aparejado 
un deterioro de la economía local y global. Las pérdidas que puede provocar 
un pirata experimentado como Dron son enormes. No obstante, los 
ciberdelincuentes activos se cuentan por decenas de miles, y solo unos pocos 
llegarán a ser detenidos. 

Joehle era una persona taciturna y sin formación, pero dotada de talento. 
Su instinto empresarial, unido a sus habilidades como ingeniero, 
probablemente lo ayude a levantarse una vez que reciba la sentencia y cumpla 
la condena. El hacker había transmitido sus conocimientos a otros miembros 
de Dark Market, entre ellos uno cuyo objetivo era establecer una red de 
producción de clonadoras por medio mundo. Pero eso ya no era cosa de Dron 
ni del detective Frizzell: la velocidad con que la información circula por el 
lado oscuro de la red es una razón más para que los cuerpos policiales 
nacionales amplíen los cauces de comunicación con sus colegas de otros 
países. 

Eliminados Dron y Matrix, la policía tendría que proceder con celeridad y 
caer sobre los demás objetivos antes de que los miembros de Dark Market se 
percatasen de la repentina, y en buena medida inexplicable, desaparición de 
dos de los piratas más activos. Ahí el Servicio Secreto partía con ventaja, ya 
que Cha0, como administrador de Dark Market, había expulsado a Dron del 
foro. 

Mientras Dron fue miembro del foro, Cha0 hizo valer su autoridad para 
apropiarse de los secretos del negocio del joven ingeniero. En cuanto él y su 
equipo (pues Cha0 disponía de varios cómplices) descubrieron el truco, dio de 
baja la cuenta de Dron, del mismo modo que había cancelado la de JiLsi en 
diciembre de 2006. Dron no podría volver a anunciarse en Dark Market, y 
puesto que casi todos los otros foros habían ido cayendo en el transcurso de la 
batalla campal entre Dark Market y Carders Market, la estrategia de ventas 
del joven canadiense quedaba seriamente perjudicada. Con Dron fuera de 
juego, Cha0 dedicó todos sus esfuerzos a monopolizar la venta de clonadoras. 

Como Dron estaba vetado en Dark Market, sus tres socios franceses — 
Theeeel, de cerca de París, y Lord Kaisersose y Kalouche, de Marsella— no 
podían saber que Spencer Frizzell lo había puesto fuera de circulación. El 
Servicio Secreto, sin embargo, no tenía la menor idea de cuándo la policía 
alemana pensaba detener a Matrix, con la ayuda de los federales. Era probable 
que, si de pronto desaparecía de los foros, los demás miembros de Dark 
Market se inquietasen. 
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Recka, desde Suecia, supo enseguida que la policía había pasado a la 
acción. Intercambiaba correos con Matrix a diario y no se creyó el mensaje 
divulgado por Matrix a principios de junio de 2007: «Mi madre ha sufrido un 
grave accidente, de modo que me ausentaré una temporada». Cualquier 
ciberladrón con un mínimo de rodaje habría deducido al instante que la 
policía se había apoderado de su alias (como en efecto había ocurrido) y que 
el aviso era falso. 

Lord Kaisersose, Theeeel y compañía eran franceses, y eso los hacía 
distintos. Francia contribuía de una forma peculiar al negocio de la 
delincuencia telemática. Los delincuentes franceses son tan obstinadamente 
francófonos como sus demás compatriotas. La Academia Francesa, policía de 
la lengua del país, asistió con incomodidad al exponencial crecimiento del 
inglés como lengua franca global a lo largo de la década de 1990, pero se 
complacía en señalar que, en el mundo digital, la mayor parte de los hackers y 
los geeks hacían frente común contra el inglés, la principal fuente de 
impurezas lingúísticas. 

Eso quiere decir dos cosas: la primera, que en Francia la delincuencia 
informática tuvo en su origen carácter genuinamente nacional y no global 
como en el resto del mundo. El país se había adelantado a internet con la 
aparición en 1982 de un efectivo dispositivo de comunicación llamado 
Minitel, capaz de transmitir textos a un monitor a través de la línea telefónica 
convencional. Gracias a ello, Francia mantenía con las tecnologías de la 
información una relación mucho más madura que la mayor parte del mundo. 
El sistema Minitel, con el cual los abonados podían consultar números de 
teléfono, examinar sus cuentas bancarias, enviar flores o intercambiar 
mensajes subidos de tono a través de las messageries roses, era mucho menos 
accesible a los hackers que internet, lo cual explica en parte por qué en 
Francia la red no eclipsó a Minitel hasta fecha reciente. De aquí que Francia 
fuera en un principio menos vulnerable a los contagios virales. Por lo demás, 
eran relativamente pocos los hackers franceses que invertían su tiempo en 
foros como Carder Planet, Shadow Crew y Dark Market. 

La segunda consecuencia ha sido la mayor lentitud en la difusión del 
correo basura en Francia. Los ingresos son mucho menos tentadores que los 
generados por el envío de spam en inglés, español y, en los últimos tiempos, 
chino. El problema son las reducidas dimensiones del mercado. Y hasta hace 
poco, los ochenta y tantos agentes de la OCLCTIC ni se molestaban en 
investigar las amenazas con origen en otros países (a diferencia del ejército y 
los servicios de inteligencia franceses, que Cuentan con avanzados equipos 
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informáticos). La operación Lord Kaisersose (el grupo de Marsella) y la 
operación Disco Duro (Dron y Theeeel) contribuyeron en cierta medida a que 
los agentes de la OCLCTIC expusieran ante sus mandos políticos la 
conveniencia de que la policía se implicase de forma más efectiva en la 
salvaguarda de la ley en el plano internacional. Quizá lo más chocante fue que 
las detenciones de la OCLCTIC —para las que se movilizaron docenas de 
agentes armados en Marsella y en las afueras de París— no recibieron 
cobertura de ningún tipo por parte de la prensa francesa: ni un solo artículo. 

Cuando arrestó a Theeeel, la policía quedó ligeramente sorprendida al ver 
que apenas contaba dieciocho años, lo que lo convertía en el más joven de los 
miembros de Dark Market detenidos. Se había introducido en el negocio de 
las tarjetas con la intención de pagarse los estudios universitarios. Si algunas 
jóvenes consideran que la única manera de terminar sus estudios pasa por 
vender su cuerpo de forma ocasional, cabe esperar que también los jóvenes 
geeks se sientan tentados de redondear sus ingresos. Como Theeel muy bien 
sabía, cuando el dinero empieza a llegar, cuesta estar sin él. 

Al principio, los agentes franceses creían que Lord Kaisersose pertenecía 
a una de las numerosas bandas de pequeños delincuentes que pueblan 
Marsella, la Odesa francesa: otro puerto fascinante con un ambiente muy 
característico (además de una gastronomía fabulosa). Durante sus pesquisas, 
la policía había descubierto que Dustin, uno de los cómplices de Kaisersose, 
era propietario de un restaurante situado a una hora de la ciudad y que había 
cometido delitos menores de estafa. 

Sin embargo, cuando los agentes de la OCLCTIC, junto con la policía 
local marsellesa, irrumpieron en el apartamento del sospechoso, Hakim B., en 
el centro de la ciudad, descubrieron que Lord Kaisersose jugaba en otra liga. 
Además de disponer de una amplia variedad de ordenadores, el piso estaba 
amueblado con gusto y elegancia. Hakim no era un matón callejero, sino un 
hacker experimentado con un hermano, Ali B., que trabajaba en DHL. Pocos 
negocios tan apetecibles a ojos de los delincuentes informáticos como la 
mensajería internacional. Con Ali como topo en DHL, Hakim tenía medios de 
sobra para introducir y sacar mercancías y dinero de Marsella sin llamar la 
atención. Factor crucial, puesto que Hakim se encargaba de revender la mayor 
parte de los dumps de Maksik, el rey de los tarjeteros ucranianos. 

En un periodo de dos años, Maksik llegó a venderle a Hakim los detalles 
de veintiocho mil tarjetas de crédito, con un valor en metálico de unos diez 
millones de dólares. Con la ayuda de su equipo —Ali, Dustin y una o dos 
personas más—, Hakim enviaba las tarjetas a cajeros automáticos del sur de 
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Francia, con cuidado de no usar nunca tarjetas francesas, solo 
estadounidenses. Si el Servicio Secreto no se hubiera puesto en contacto con 
la OCLCTIC, hoy en día Lord Kaisersose seguiría en libertad y sería 
muchísimo más rico. 
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25 


EL HOMBRE INVISIBLE 


Renukanth creyó que podía empezar una nueva vida. La expulsión de Dark 
Market le había provocado una depresión que había durado tres semanas. Para 
él, lo único importante en el mundo era aquella página que él había 
contribuido a crear desde cero, y de pronto le había sido arrebatada. A medida 
que el invierno de 2006 dio paso a la primavera de 2007, la aflicción inicial 
fue remitiendo y poco a poco lo embargó una extraña sensación de libertad. 
Encontró fuerzas para dejar el crac y la bebida; las brumas mentales 
empezaron a desvanecerse y volvió al gimnasio para intentar perder parte del 
peso que había ganado durante su absorbente etapa como administrador de 
Dark Market. Como JiLsi era bajito, de la noche a la mañana había pasado de 
estar delgado como un palillo a ponerse gordo como una pelota. 

Pasadas unas semanas, envió una solicitud de readmisión a los 
administradores de Dark Market. Le fue concedida, aunque rechazaron su 
pretensión de volver a ser administrador. A cambio, le dieron el título 
honorífico —aunque sin más valor— de «miembro respetado». 

Ya no poseía poder de vida o muerte sobre los miembros de la web, pero 
seguía contribuyendo a su buen funcionamiento. Un miembro había ideado un 
sistema de robo de tarjetas en un aparcamiento de Texaco en Portsmouth, en 
la costa meridional inglesa. Alguien había instalado una minicámara en el 
techo, justo encima de la máquina de pago, de modo que, al mismo tiempo 
que se clonaban las tarjetas, se grababa a los propietarios tecleando el número 
secreto. JiLsi, para su desgracia, aceptó ejercer como gestor fiduciario por 
hacerle un favor al miembro, y lo que es peor, le pidió a otro, Sockaddr, que 
se encargase de retirar el dinero de las tarjetas en Estados Unidos. El 
problema era que Sockaddr era el principal agente encubierto del Servicio 
Secreto en Dark Market. 

De todos modos, la actividad de JiLsi en el foro era cada vez más 
esporádica; sus días de tarjetero se acercaban a su fin. Aún no sabía qué haría 
si lo dejaba, pero estaba convencido de que había llegado el momento de 


www.lectulandia.com - Página 150 


enmendarse. Tenía que poner fin al desastre en que se había convertido su 
vida. 

Además, un sexto sentido le decía que algo extraño estaba ocurriendo. Su 
vista, su oído y su olfato se mantenían en alerta a la espera del más leve 
susurro, como un ciervo ante el peligro. Creía haber divisado a un par de 
animales al acecho. Estaba seguro de haber visto con el rabillo del ojo a un 
par de leones merodeando por el Java Bean. Incluso inspeccionaba el cielo en 
busca de buitres volando en círculos. 

¿Sería la paranoia o acaso sus dos vidas paralelas como Renu y JiLSi 
corrían el riesgo de colisionar? Sea como fuere, lo mejor era prever los 
posibles desenlaces. No podía seguir negándose a reconocer lo que era obvio: 
un coche aparcado demasiado rato frente a la cafetería, desconocidos que por 
raza O indumentaria no encajaban en el local. Un par de semanas después, 
Renu empezó a variar la ruta que seguía para ir al Java Bean y volver. No 
cabía duda de que lo seguían. Eran los leones. 

En cuanto a los buitres, formaban parte de un equipo menos organizado, 
aunque igualmente peligroso, que le hacía llegar avisos relacionados con 
ciertas obligaciones financieras contraídas a raíz del desastroso episodio del 
lápiz de memoria del año anterior. Querían su dinero o su carne. ¿Estaría 
dispuesto a negociar alguno de los dos grupos? ¿O tendría que huir de ambos? 

Mick Jameson había asumido el mando del caso de JiLsi un par de meses 
antes, en marzo. La Agencia contra el Crimen Organizado (SOCA), para la 
que trabajaba, llevaba más de medio año siguiéndole el rastro al hacker 
gracias a un soplo de Keith Mularski. Tanto el Servicio Secreto como el FBI 
hacía tiempo que iban tras los pasos de JiLsi debido a la compulsiva actividad 
de este en foros ilegales de todo tipo (hasta el punto de que, si el hacker no 
formaba parte en una web, la página perdía pedigrí). Su simpático avatar, el 
del pirata con parche y sombrero de tres picos, era incontenible. 

La SOCA era el único cuerpo policial que tenía conocimiento de las 
operaciones tanto del FBI como del Servicio Secreto, y, hasta cierto punto, la 
unidad contra el crimen organizado actuaba como pacificador pasivo, 
garantizando al menos que la fecha de detención de Lord Kaisersose y 
Theeeel en Francia coincidiera con la de Matrix en Alemania y JiLsi en 
Inglaterra. 

Desde febrero el Java Bean era vigilado por los micrófonos y las cámaras 
de uno de los equipos de investigación. Los agentes que seguían a Renu lo 
habían descubierto reuniéndose con unas cuantas personas, con las que a 
menudo hablaba en tamil; lo habían visto entregando dinero en metálico y 
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lápices de memoria a sujetos que llegaban en coche y partían sin apenas 
detenerse; incluso tropezaron con otro usuario de Dark Market que también 
frecuentaba el Java Bean. Pero a quien querían era a Renu. Habían sacado 
instantáneas de su pantalla con un teleobjetivo, y uno de los colegas de 
Jameson se había infiltrado en Dark Market haciéndose pasar por miembro 
ordinario, lo cual les permitía mantenerse al corriente de los mensajes de 
JiLsi. Además, Mularski les facilitaba una información preciosa. Pero, aun 
así, seguían sin dar con la prueba definitiva que identificase a Renukanth 
Subramaniam como JiLsi. Para eso sería necesario arrestarlo. 

Los distintos cuerpos de policía decidieron ir a por él la segunda semana 
de junio. Por fin el Servicio Secreto y el FBI se ponían de acuerdo en algo: el 
12 de junio sería el día D. Pero entonces el plan se frustró por culpa de los 
correos anónimos dirigidos a Matrix001. Si la detención de JiLsi fracasaba, 
era muy posible que en cuestión de minutos la noticia se difundiera por Dark 
Market, echando a perder varios años de minuciosos preparativos. 

De pronto, los peores temores de Jameson se hicieron realidad: dos días 
después del arresto de Matrix, JiLsi se esfumó. Una mañana salió de casa, 
pero no para ir al Java Bean, sino a la cercana estación de Wembley Park, 
desde donde se dirigió al centro de Londres. A la altura de IKEA, en la 
Circular Norte —la carretera de circunvalación de Londres, siempre 
colapsada—, se fijó en un hombre de aspecto peculiar. ¿O era una mujer? No 
estaba seguro. Quizá lo mejor era definirlo como andrógino. Siguió 
caminando hacia Wembley Park. Al aproximarse al pasaje subterráneo, junto 
a la parada del metro, vio en el puente a un hombre de pelo largo que hablaba 
por teléfono sin quitarle los ojos de encima. 

Tras tomar la línea de Jubilee en sentido ciudad, JiLsi cambió a la línea de 
Picadilly en Green Park para bajar por último en Leicester Square. Como a 
menudo ocurre en esa parada, salió por la boca equivocada y tuvo que 
deshacer camino hasta llegar a la plaza propiamente dicha. 

De repente, el corazón le dio un vuelco: ahí mismo estaba don Andrógino. 
Y mientras cruzaba la plaza Leicester, atestada de turistas y artistas callejeros, 
Renu estuvo a punto de darse de bruces con don Pelo Largo. Ya no cabía 
ninguna duda: lo estaban sometiendo a una estrecha vigilancia. 

Entró en un restaurante chino y, mientras devoraba la comida, consideró 
sus opciones. Salió de nuevo y embocó la calle St. Martin, un pasaje que se 
convierte en zona peatonal a la altura de la National Gallery y conduce a la 
plaza de Trafalgar. 
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Los turistas se arremolinaban en torno a la columna de Nelson para 
admirar la extraordinaria estatua de tres metros y medio de altura que ocupaba 
el cuarto pedestal, cuyas esculturas se cambian cada dieciocho meses 
aproximadamente. Alison Lapper embarazada representa, encinta y desnuda, 
a la artista británica del mismo nombre. Lapper nació sin brazos. En su 
momento, la decisión de exponer la estatua causó un revuelo considerable. La 
obra atraía a la multitud; Renu se abrió paso a través de la marea de turistas, 
con sus perseguidores pisándole los talones. Tomó el primer autobús que 
encontró y desde el piso superior vio a don Andrógino y a don Pelo Largo 
mirando con desesperación a su alrededor en busca de la presa desaparecida. 

Renu se evaporó. Y no fue el único: JiLsi no volvería a colgar mensajes 
en la red. 

Un par de semanas después, Renukanth se dirigió hacia una de las varias 
propiedades que, aunque no le pertenecían, tenía hipotecadas. Ya casi había 
llegado a la casa, justo debajo de la ruta de aterrizaje del aeropuerto de 
Heathrow, cuando le sonó el teléfono. Era un colega suyo que vivía ahí y le 
advertía que no se acercase. La policía acababa de entrar en la casa con una 
orden de arresto. 

El oficial de la SOCA al mando de la investigación de JiLsi, Mick 
Jameson, ya había visitado el domicilio principal de Renu en Coniston 
Gardens y unos cuantos más. Aparte de su trabajo como JiLsi en Dark 
Market, el de Sri Lanka era un estafador hipotecario en serie. Había mentido 
de forma constante acerca de su situación profesional y financiera para 
conseguir que varios acreedores le prestasen dinero tomando como garantía 
varias fincas del norte, el oeste y el sur de Londres. Gran Bretaña no vivía la 
fiebre subprime que se había apoderado de la industria financiera 
estadounidense, pero el llamado sistema de autocertificación (según el cual la 
palabra de uno es prueba suficiente de sus ingresos), unido a la práctica de 
conceder préstamos por cinco veces el sueldo del solicitante (en tiempos de 
mayor cordura, la cifra nunca excedía el triple), facilitaba relativamente la 
comisión de ese tipo de fraudes. La competencia en el mercado era tal que 
mirar hacia el otro lado se había convertido en la estrategia favorita de la 
banca. 

Pero en el momento de recibir la llamada, Renu estaba más preocupado 
por salir del cenagal en que se hallaba inmerso que por la letra pequeña de sus 
múltiples estafas. Sin pensarlo dos veces, decidió no volver a dar señales de 
vida. Pasó tres semanas durmiendo a la intemperie, evitando acercarse a las 
direcciones que suponía sujetas a vigilancia de algún tipo. Cuando lo 
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informaron de la incursión de la policía, llevaba encima unas quinientas 
libras. 

Había llevado una vida frenética y arriesgada, pero a Renu siempre le 
había gustado vivir como un fantasma: cambiar de domicilio cada cierto 
tiempo, entregar lápices de memoria bajo mano a tipos de aspecto misterioso 
y, por supuesto, ser celebrado como un capitoste de las webs de tarjeteros, sin 
que nadie supiera quién era. Al principio, creyó que cubrirse con unos 
cartones debajo de un puente con un grupo de alcohólicos contribuiría a esa 
mística. Pero, a medida que se le acababa el dinero y su situación se iba 
deteriorando hasta la más pura miseria, Renukanth Subramaniam —débil, 
sucio y enfermo— vio que se aproximaba a un callejón sin salida. 

El 3 de julio de 2007 se personó en la comisaría de Wembley Park y se 
entregó. La parte fácil de la operación Dark Market había concluido. 
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INTERLUDIO 
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EN EL PAÍS DE NO SÉ QUÉ NI DÓNDE 


Tallin, Estonia 


Cuatro días antes de las elecciones generales, en la primavera de 2007, el 
pequeño Estado báltico de Estonia, con una población de solo un millón 
doscientos cincuenta mil habitantes, ofreció a sus ciudadanos una primicia 
mundial: la posibilidad de depositar sus papeletas para las elecciones 
parlamentarias sin levantarse de delante del ordenador. Si el experimento salía 
bien, el objetivo era promover unas «elecciones virtuales» para cuatro años 
después, en 2011. 

Si Estonia conseguía dar ese importante paso hacia el futuro digital, se 
plantearían muchos retos: no solo habría que garantizar el correcto 
funcionamiento de los sistemas, sino también su seguridad frente a un ataque 
externo. Un año antes, Estonia había presentado de forma oficial el Equipo de 
Respuesta ante Emergencias Informáticas (CERT), cuyo cometido principal 
era solucionar posibles vulneraciones (accidentales o deliberadas) en los 
dominios de internet con el sufijo del país: .ee. Para ello había que supervisar 
de forma constante el tráfico de internet que entraba, salía o circulaba por el 
interior del país, en busca de patrones anómalos. 

El responsable de la seguridad informática estonia es Hillar Aarelaid, un 
tipo con voz queda y aspecto de acabarse de levantar de la cama sin muchas 
ganas. Pese a su aire distraído, Aarelaid es un hombre con una gran 
determinación gracias a la cual destacó en las filas de la policía estonia, donde 
empezó como agente de tráfico en una población remota. «Como me gustaban 
los ordenadores, primero me trasladaron a Tallin y, finalmente, me nombraron 
jefe de información de la policía del país». No debe sorprender, pues, que 
tenga aspecto de geek. Desde luego, no parece policía (a lo sumo un agente de 
narcóticos de paisano de los años ochenta), lo que hace pensar que su 
nombramiento al frente del CERT en 2006 podría obedecer, entre otros, a 
motivos estéticos. 

El día de las elecciones virtuales de 2007, el CERT y los excompañeros 
de Hillar de la policía se hallaban en estado de alerta máxima. «Por fortuna — 
explica—, pues detectamos que alguien había lanzado un botscan contra el 
sistema de votación». Por lo visto, alguien había enviado una sonda 
automática con instrucciones de detectar si por error alguno de los puertos de 
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los servidores electorales había quedado abierto. «No fue nada grave, ya que 
los botscans son bastante fáciles de detectar —continúa Hillar—, pero aun así 
representaba una verdadera amenaza a la seguridad». 

Dicho esto, saca pecho —todo el pecho que puede sacar alguien con la 
templanza de Hillar— y anuncia triunfante que «a los quince minutos de 
detectar el botscan, teníamos a un agente llamando a la puerta de un domicilio 
de Rapla, cincuenta kilómetros al sur de Tallin, y preguntándole al inquilino: 
“¿Puede saberse por qué ha lanzado un botscan contra los ordenadores 
electorales?”». 

En el mundo de la ciberseguridad, que entre la detección de una fechoría y 
la llegada de un agente al lugar donde se halla el equipo malhechor medien 
quince minutos constituye una marca más que notable: una labor magistral. 
«Tuvimos la suerte de poder hacer un buen trabajo —admite Hillar—; cuando 
llegó el primer gran ataque, a finales de abril, ya estábamos bien preparados». 

El «gran ataque», ocurrido dos meses después de las elecciones, fue otra 
«primicia» en Estonia. Las redes del país fueron víctimas de una ofensiva 
sostenida que obligó a cerrar los vínculos de internet con el mundo exterior. 
Para algunos, aquel fue el primer episodio de guerra informática de la 
historia. 

Me puse a buscar a Hillar un mes después de mi visita a Google, en 
Silicon Valley. Mi viaje al Este me condujo hasta Tallin, la pintoresca capital 
del más septentrional de los Estados bálticos. La muralla de la ciudad vieja 
protege una rica mezcla de estilos arquitectónicos escandinavos, germánicos y 
eslavos, donde se ve que las antiguas aspiraciones imperiales de los vecinos 
del norte, el este y el oeste del país no dieron paso a una cultura 
verdaderamente nacional hasta hace apenas veinte años, tras la caída del 
comunismo (a pesar de que todavía una cuarta parte de la población tiene 
raíces rusas). 

Pared con pared con las iglesias ortodoxas, luteranas y católicas, pueden 
encontrarse restaurantes turísticos decorados con un bucolismo impostado y, 
para después de la comilona, animados locales nocturnos para terminar la 
noche con un poco de baile. En Estonia se ven menos grupos de jóvenes 
ingleses borrachos que en la vecina Letonia, aunque no deja de tener una 
parte sórdida. Entre las discotecas, se encuentra el evocador Depeche Mode 
Baar, que solo pone música de la banda de Essex y constituye una especie de 
homenaje al legado cultural británico de los primeros días de Margaret 
Thatcher. 
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El ambiente extraño, aunque acogedor, de Tallin quedaba realzado por el 
hecho de que mi llegada se producía solo una semana antes del solsticio de 
verano y las legendarias noches blancas. La oscuridad no llega hasta justo 
pasada la medianoche y la luz reaparece una hora y media más tarde. Al cabo 
de una semana, la luz dura las veinticuatro horas del día. 

Aquella encrucijada confusa de ambiciones imperiales, peculiares iconos 
culturales modernos y luz ensoñadora es el telón de fondo ideal para la 
reunión anual del Centro de Excelencia para la Ciberdefensa Cooperativa 
(CCDCOE), el centro que, bajo los auspicios de la OTAN, investiga la guerra 
informática en todas sus facetas. Los asistentes al congreso habitan un País de 
las Maravillas contemporáneo en el que a menudo las formalidades quedan a 
un lado: tipos con gafas metálicas y cola de caballo intercambian 
tranquilamente información acerca de «vulnerabilidades de inyección SQL» 
con militares de uniforme almidonado. Funcionarios trajeados conversan con 
jóvenes vestidos con vaqueros y camiseta sobre los perjuicios de los «ataques 
MitM». 

Para captar por lo menos los rudimentos de la seguridad informática en 
toda su variedad, hay que estar dispuesto a aprender un sinfín de expresiones 
nuevas sujetas a continuas adiciones y variaciones. De lo contrario, el lego 
asiste a conversaciones cuyo vocabulario básico y estructura sintáctica 
reconoce de forma inequívoca como pertenecientes al inglés, pero que 
carecen de sentido para el profano. Evidentemente, resulta embarazoso 
preguntar una y otra vez a quienes manejan con soltura ese lenguaje 
misterioso por qué los «desbordamientos de buffer» pueden tener 
consecuencias nefastas para la seguridad de una red, pero la tribu de los geeks 
no suele ser engreída y por lo común responde gustosa. 

Es posible que Estonia sea pequeña, pero es el país mejor conectado de 
Europa y una de las potencias digitales líderes en el mundo; de allí —entre 
otros inventos— procede Skype. En casi todas partes se puede acceder a la 
red sin cables y de forma gratuita, ya que la conexión se considera un derecho 
básico, no un privilegio. Allí los hoteles no lo despluman a uno por navegar 
por internet. 

De todos modos, yo no había ido para hablar con Hillar Aarelaid sobre el 
papel pionero de Estonia, sino sobre su privilegiado lugar en la historia de la 
guerra digital internacional. 

A principios de 2007, el gobierno estonio anunció su intención de 
trasladar el Monumento a los Caídos del Ejército Rojo durante «la gran guerra 
patriótica» (como los rusos llaman a la segunda guerra mundial) desde su 
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emplazamiento en el centro de Tallin hasta el cementerio principal de la 
ciudad, no muy lejos del centro. Los líderes rusos lo interpretaron como un 
insulto intolerable, e incluso vieron en ello una prueba del resurgimiento del 
nacionalismo fascista estonio (entre los setecientos cincuenta mil habitantes 
del país que no proceden de la inmigración) y un ultraje a los soldados del 
Ejército Rojo que sacrificaron sus vidas para liberar a Estonia del yugo nazi. 

La disputa sobre el soldado de bronce fue subiendo de tono. Los medios 
rusos, tanto los de Estonia como los del otro lado de la frontera, alimentaban 
los miedos de la minoría rusa del país y, al poco tiempo, el asunto adquirió 
dimensiones críticas. La tarde del 27 de abril, cientos de jóvenes estonios de 
etnia rusa se concentraron en el centro de Tallin. La protesta contra el cambio 
de ubicación del monumento tuvo un carácter pacífico y festivo hasta que un 
grupo intentó romper el cordón policial que protegía la estatua. Los 
enfrentamientos no tardaron en extenderse, y, por la noche, en la ciudad vieja, 
Calificada por la Unesco como patrimonio de la humanidad, hubo quemas de 
vehículos, roturas de escaparates y saqueos de comercios. 

Los disturbios amenazaban con propagarse, y Moscú emitió comunicados 
en los que acusaba a la policía estonia de cometer abusos. El mismo país que 
dos décadas antes había conquistado la independencia de la Unión Soviética 
se veía ahora atenazado por la incertidumbre y el miedo. Era del todo 
improbable que Rusia ofreciera a Estonia «ayuda fraternal», por usar el 
eufemismo soviético equivalente a sacar los tanques a la calle. Después de 
todo, Estonia era miembro de la OTAN y parecía inconcebible que Rusia 
estuviera dispuesta a poner a prueba el lema de la organización —todos para 
uno y uno para todos— por una maldita estatua. 

Por suerte para todos, el Kremlin no parecía inclinado a enviar ayuda 
fraternal, pero mientras en el centro de Tallin se sucedían incendios, tumultos 
y quemas de banderas, los hackers aprovecharon el conflicto para abrir un 
nuevo frente. 

Esa noche, las webs del presidente de Estonia y de varios ministerios del 
gobierno empezaron a recibir cantidades exorbitantes de correo basura y la 
fotografía del primer ministro en la web de su partido fue manipulada. Por las 
Salas de chat rusas circulaban llamamientos a que los hackers lanzaran 
ataques contra las webs estonias y se facilitaba el acceso a los programas 
necesarios para ello. Según fuentes citadas en un telegrama de la embajada 
estadounidense a Washington (filtrado a Wikileaks), los primeros ataques no 
presentaban ninguna sofisticación desde el punto de vista técnico y «parecían 
más una reyerta cibernética que una guerra informática». 
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El fin de semana, la lluvia de correos basura se convirtió en ataques 
DDoS. Los hackers crearon docenas de molestos botnets y reclutaron 
ordenadores zombis de todo el mundo para obligarlos a conectarse a las webs 
estonias, provocando ataques a gran escala; así, la página presidencial, «que 
de ordinario tiene una capacidad de dos millones de megabits por segundo, 
quedó inundada por un tráfico de casi doscientos millones de megabits por 
segundo», según el cable de la embajada estadounidense. La situación habría 
podido reconducirse, pero el 3 de mayo «los ciberataques se propagaron de 
las webs y los servidores del gobierno de Estonia a páginas y servidores 
privados». 

Hacia las diez de la noche, Jaan Priisalu recibió una llamada en su 
domicilio, en las afueras de Tallin. «Me dijeron que iban a caer todos los 
Canales», recuerda. Como jefe de seguridad y tecnologías de la información 
del mayor banco de Estonia, Hansabank, Priisalu se sentía impotente. «Al rato 
recibí un SMS en el que se me informaba de que nuestro servicio de banca en 
línea estaba colapsado». 

Los ataques llegaban de todos los frentes: decenas de miles de equipos 
inundaban los sistemas de Hansabank con solicitudes de información. Priisalu 
escarbó sin perder tiempo en toda aquella frenética actividad electrónica y no 
tardó en descubrir que Hansabank se hallaba bajo el ataque de un botnet 
formado por unos ochenta mil ordenadores. Siguiendo los ataques hasta su 
origen, Priisalu averiguó que procedían de un servidor de Malasia. El 
resultado no era en absoluto concluyente, solo significaba que a partir de 
Malasia los atacantes habían conseguido enmascarar su origen real. Lo que sí 
estaba claro era que se enfrentaban a un ataque de gran virulencia. «Fue 
demoledor», afirma. Un botnet de ochenta mil ordenadores es un monstruo 
terrorífico capaz de paralizar por entero el sistema de una compañía en 
cuestión de minutos. 

Gracias a las medidas cautelares de Priisalu, Hansabank disponía de 
potentes servidores y webs espejo con réplicas del contenido (lo que 
dificultaba el éxito de los ataques DDoS). No obstante, y a pesar de que 
Hansabank se mantuvo en línea, la principal fuente estonia de la embajada 
estadounidense informó que el incidente había tenido para la compañía un 
coste «como mínimo de diez millones de euros». 

Los objetivos siguientes fueron los medios estonios, incluido el periódico 
más visitado de la red. «Imagínese —señala un observador—, si puede, el 
efecto psicológico sobre los estonios al ir a pagar una factura y no poder, o al 
intentar leer las noticias en la red y no conseguirlo». El gobierno estaba en 
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máxima alerta y muy preocupado ante la posibilidad de que los ataques 
plantearan «una alarmante amenaza a la infraestructura económica y social 
básica». 

Gracias a la coordinación entre el gobierno, la policía, los bancos y el 
CERT, el impacto de los ataques sobre la ciudadanía se mantuvo dentro de 
límites razonables. Hansabank pudo mantener sus servicios en línea; los otros 
dos bancos principales no, pero para los clientes las molestias no pasaron de 
tener que personarse en las sucursales. Las redes de telefonía móvil quedaron 
interrumpidas y, tras la orden del gobierno de cortar todos los vínculos de 
Estonia con el extranjero, las comunicaciones con el país siguieron siendo 
difíciles durante unos días. Contrariamente a lo afirmado en los primeros 
informes, los semáforos de Tallin no dejaron de funcionar, aunque sí se 
registraron interrupciones en el trabajo del gobierno y de los medios. 

La ofensiva se prolongó, con distinta intensidad, durante dos semanas, y 
culminó con un ataque masivo el 9 de mayo, fecha de la victoria del Ejército 
Rojo sobre los nazis en Europa. Agotado por el incesante torrente de ataques 
DDOS, el gobierno estonio decidió aislar el sistema de internet del país del 
resto del mundo. Poco a poco, las aguas volvieron a su cauce y los ataques 
cesaron por fin el 19 de mayo. 

Los sucesos de Estonia tuvieron graves consecuencias. En lo político, era 
evidente que los ataques provenían de Rusia, pero como era de esperar Moscú 
negó toda relación con los hechos. Por otra parte, era posible que el Kremlin 
no estuviera involucrado de forma oficial. Los investigadores no consiguieron 
localizar con precisión el origen de la ofensiva. Si realmente provenía de 
Rusia, el gobierno, con su omnisciente sistema de control, el SORM-2, por 
fuerza tenía que saberlo, aunque la actividad cibernética alcanzaba en Rusia 
un volumen tal que cabe la posibilidad de que incluso el famoso SORM-2 
tuviera dificultades para estar al corriente de todo. Quién sabe. Una de las 
cosas que el ataque a Estonia puso en evidencia es que puede conjeturarse 
quién anda detrás de sucesos como ese, pero difícilmente puede demostrarse. 

Como los demás gobiernos, el ruso todavía estaba definiendo su actitud 
hacia internet, su función y la relación entre el Estado y el usuario final. 
Moscú se había percatado ya en la década de 1990 de que la importancia de 
internet en términos políticos y de seguridad era tal que merecía toda la 
atención de una de las instituciones más duraderas y exitosas del país: la 
policía secreta. Por eso el FSB (directo sucesor del KGB) desarrolló un medio 
para controlar todos los datos que entraban, salían o circulaban por el país. El 
sistema fue bautizado con el siniestro y significativo nombre de SORM-2, 
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siglas de Cucrema OneparuBHo-Po3bIckHbIx Meponpuatmí, o, lo que es lo 
mismo, Sistema para Actividades Operativas y de Investigación. 

El funcionamiento del SORM-2 es francamente aterrador. Cuando alguien 
solicita información en la red desde su ordenador en Vladivostok o 
Krasnodar, dicha información es remitida al proveedor de servicios de 
internet correspondiente. Pero, además, la central del FSB en Moscú recibe un 
duplicado para que sus funcionarios puedan verla, sopesarla, reírse de ella o 
(quién sabe) utilizarla como prueba contra el usuario, según se le antoje. En el 
mejor de los casos, queda almacenada. 

El SORM-2 no solo exige que los proveedores de servicios de internet 
remitan copia de toda su actividad al cuartel general del FSB, sino que añade 
el insulto a la ofensa obligando a dichos proveedores a comprar el equipo 
necesario (con un precio superior a los diez mil dólares) y a abonar los costes 
del servicio. Los costes, naturalmente, terminan sufragándolos los clientes, 
que de ese modo pagan de su propio bolsillo una potente herramienta de 
opresión de la que son la principal víctima. 

El Estado ruso tiene autoridad para saber quién hace qué, cuándo, a quién 
y, quizá también, por qué en la red. Cabe, desde luego, la posibilidad de que 
un usuario avispado intente sortear al omnipresente SORM-2 encriptando sus 
datos y búsquedas de internet; pero no hay que olvidar que en Rusia el 
encriptado es ilegal y que un simple archivo con cerrojo digital puede acarrear 
un viaje solo de ida a Siberia. 

Lo dicho no implica que los regímenes de internet de los gobiernos 
occidentales sean modélicos en cuanto a libertad de expresión. Al contrario, a 
medida que nuestra dependencia de la red aumenta, crecen también el deseo, 
la capacidad y la voluntad de los gobiernos de establecer un control férreo. 
Aunque funcionarios y políticos niegan a menudo la existencia de medidas a 
tal efecto, la lenta y dolorosa muerte de la privacidad electrónica en 
Occidente, sobre todo en Reino Unido y Estados Unidos, es una triste —amén 
de visible— realidad, y, acaso, algo inevitable. 

La respuesta al 11-S mermó severamente nuestra libertad con respecto a 
las interferencias del Estado en la red en nombre de la lucha contra el 
terrorismo. En Estados Unidos, la herramienta principal para ello fue el 
Programa de Conocimiento Total de la Información (TIA). Pese a su 
proverbial ceguera, incluso la administración Bush se dio cuenta de que las 
connotaciones orwellianas del nombre eran demasiado evidentes y lo cambió 
por el de Programa para el Conocimiento de la Información Terrorista. 
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El TIA proporcionó al DARPA, el ala de investigación y detección del 
Pentágono, acceso a datos obtenidos de comunicaciones privadas. El 
programa terminó cerrándose, pero muchas de sus funciones fueron asumidas 
por el gobierno para luego redistribuirlas entre distintos organismos del país. 

Por si fuera poco, el Tribunal Supremo, en un gesto histórico, dio luz 
verde al FBI para instalar registradores de teclas troyanos en los ordenadores 
de sus sospechosos; eso sí, siempre bajo la supervisión de un juez. De ese 
modo, el FBI puede controlar todas las operaciones realizadas con el equipo 
del sospechoso, lo mismo que hacen los delincuentes informáticos cuando 
infectan ordenadores de terceros. Además, a principios del nuevo milenio, el 
Parlamento europeo confirmó la existencia de Echelon, un programa 
estadounidense de espionaje global supuestamente capaz de almacenar 
comunicaciones digitales de cualquier lugar del mundo. 

En el ámbito de la Unión Europea, durante la presidencia británica se 
publicó una directiva que obligaba a los proveedores de servicios de internet 
europeos a almacenar todo el tráfico informático (incluido el de los teléfonos 
móviles) durante un lapso comprendido entre seis meses y dos años. Los 
datos quedaban a disposición de los organismos gubernamentales, que 
podrían acceder a ellos aplicando la legislación vigente en cada país. Si esta 
tendencia a la vigilancia digital sigue su curso, los gobiernos occidentales 
(casi siempre en nombre de la estrategia contra el terrorismo y la salvaguarda 
de la ley) dispondrán cada vez de más recursos para controlar los 
movimientos y costumbres de sus ciudadanos. 

Los investigadores de la London School of Economics han descrito como 
nadie el camino por el que vamos. En junio de 2009 invitaban al lector a 
imaginar que... 


. el gobierno tiene a un agente de seguridad sordo para 
cada persona, a la cual sigue adondequiera que va. Dicho agente 
no puede oír el contenido de las interacciones, pero observa 
hasta el último detalle de la vida de la persona: la hora a la que 
se levanta, el camino que sigue para ir al trabajo, la gente con la 
que habla y durante cuánto tiempo habla, el estado de su 
negocio, su salud, la gente que encuentra por la calle, sus 
actividades sociales, sus afiliaciones políticas, los periódicos y 
artículos concretos que lee, sus reacciones al respecto, los 
productos de su cesta de la compra, si sigue una alimentación 
sana, si su matrimonio es feliz, si mantiene relaciones 
extramatrimoniales, dónde se cita, cómo son sus relaciones 
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privadas. Dado que hoy en día la mayoría de estas interacciones 
están mediadas de un modo u otro por los servicios de 
telecomunicación “oO por dispositivos móviles, nuestros 
proveedores de servicios de Internet guardan toda esa 
información, a la espera de que el gobierno acceda a ella. 


En Occidente al menos tenemos la oportunidad de luchar para oponernos a 
algunas de las medidas más draconianas que las distintas ramas de los 
gobiernos intentan aplicar a la relación de la ciudadanía con la red. 

Considerando la fuerza que la comunidad defensora de los derechos 
civiles tiene en Occidente y la intensa vigilancia a la que Rusia tiene sometida 
la red, sería de esperar que los delincuentes informáticos vieran en Rusia un 
entorno implacablemente hostil. Sin embargo, la Federación Rusa se ha 
convertido en una de las mecas mundiales de la delincuencia telemática. El 
número de actuaciones policiales es ridículo, y el de condenados alcanza 
apenas las dos cifras. Aunque nadie lo diga, todos saben la razón. Los 
delincuentes informáticos rusos son libres de clonar tarjetas de crédito, 
piratear cuentas corrientes y distribuir correo basura, siempre y cuando los 
destinatarios de sus ataques residan en Europa occidental y Estados Unidos. 
Si a un hacker ruso le diera por estafar a un compatriota, sería apresado e 
introducido en la parte posterior de un vehículo sin matrícula en menos de lo 
que se tarda en decir KGB. 

A cambio, cómo no, cuando el Estado ruso requiere de los servicios de un 
hacker para perpetrar un ataque brutal contra un supuesto enemigo, al hacker 
más le vale cooperar. 

El año 2007 significó el apogeo de una organización informal de empresas 
con sede en San Petersburgo conocida como Red Rusa de Negocios, o RRN. 
Esa misteriosa red ofrecía alojamiento a webs personales o corporativas, pero 
sobre todo era conocida por ser la número uno en alojamiento blindado. La 
particularidad de estas empresas consiste en que no se interesan por el 
contenido ni la finalidad de las webs de sus clientes. A cambio de unas cuotas 
altísimas, protegen sus páginas de cualquier intento de intrusión jurídica o 
digital. 

La razón de ser de los alojamientos blindados no siempre es burlar la ley, 
pero a menudo los delincuentes y los piratas se sirven de ellos con ese fin. Por 
ejemplo, resultan prácticamente indispensables para las personas y grupos que 
se dedican a la distribución de pornografía infantil. De hecho, los 
departamentos de investigación de varias empresas de seguridad han 
descubierto que en los registros de RRN figuraban clientes de ese tipo. 
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Esta clase de alojamientos se han revelado vitales también para los 
distribuidores de correo basura, ya que para repartir miles de millones de 
anuncios dudosos y virus se necesitan sistemas seguros y con gran capacidad. 
Las estafas nigerianas 419, los medicamentos falsos, los famosos 
alargamientos de pene y muchos otros productos (reales o imaginarios) 
invaden el mundo gracias a los alojamientos blindados. Muchos correos 
basura esconden virus o enlaces a páginas infectadas que, al activarse, pueden 
convertir un equipo en un soldado más de un ejército botnet. 

Entre 2006 y 2007, su época de mayor expansión, la Red Rusa de 
Negocios llegó a gestionar —según Spamhaus, la organización antispam de 
Cardift— dos mil cuarenta y ocho direcciones de internet. Spamhaus 
clasificaba a RRN «entre los mayores emisores de correo basura del mundo» 
y la acusaba de dar cobijo a vastas «redes dedicadas a la pornografía infantil, 
al malware, al phishing y a la delincuencia informática». 

La gran importancia de la RRN se debe a la rentabilidad de las empresas 
de alojamientos blindados, que llegan a cobrar a sus clientes seiscientos 
dólares mensuales o más. Una página legal pagaría una décima parte de ese 
precio. 

Sin embargo, su papel secundario es el más interesante. Los ataques 
contra Estonia empezaron con una lluvia de millones de correos basura a las 
redes informáticas del gobierno estonio. Posteriormente, Francois Paget, que 
trabaja para McAfee, el gigante norteamericano de la seguridad informática, 
analizó el contenido de los correos y descubrió que eran idénticos a los 
modelos emitidos a través de la RRN. A eso hay que añadir las declaraciones 
de Andy Auld, jefe de inteligencia telemática de la Agencia contra el Crimen 
Organizado británica, quien aseguró que, trabajando sobre el terreno, la 
policía británica había averiguado que el funcionamiento de la RRN dependía 
en parte de los sobornos a la policía local y los jueces. 

Cabe la posibilidad de que la RRN instigara los ataques contra Estonia, 
pero parece poco probable. Lo más probable es que percibiera dinero por 
provocarlos o que las autoridades consideraran su participación en ellos como 
un acto de patriotismo. La conexión entre un conglomerado de proveedores 
de servicios de internet de San Petersburgo especializados en actividades 
delictivas y los ataques informáticos contra Estonia constituye uno de los 
mayores interrogantes de la historia de la delincuencia telemática y la 
seguridad informática. 

Existen en internet tres grandes «amenazas», que se manifiestan con 
distintas apariencias. La primera es la delincuencia informática. Su 
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manifestación básica es el tarjeteo, el robo de datos de tarjetas de crédito y su 
clonación con fines lucrativos, pero existen muchas otras estafas. Una de las 
más rentables, por ejemplo, es el llamado scareware, un método 
perfeccionado por una empresa ucraniana llamada Innovative Marketing. La 
compañía reclutó varias docenas de jóvenes de Kiev, la capital de Ucrania, la 
mayoría de los cuales creían estar colaborando con una start-up dedicada a la 
venta de productos de seguridad legales. Pero no era así. 

La empresa se dedicaba a enviar falsos antivirus que, una vez instalados 
en un ordenador personal, abrían una ventana en el navegador en la que se 
alertaba al usuario de que su equipo había sido infectado por un virus. El 
aviso explicaba que el único modo de deshacerse del virus informático 
infiltrado en el disco duro y la memoria RAM era hacer clic en un enlace y 
comprar «Malware Destroyer 2009», por nombrar solo uno de sus incontables 
productos. 

Tras descargar el programa (al precio de cuarenta euros), Innovative 
Marketing solicitaba que el usuario eliminase los programas antivirus 
existentes, por ejemplo Norton, e instalase su producto. Una vez instalado, el 
programa no hacía nada, era una aplicación vacía; la única diferencia era que 
desde entonces el equipo era vulnerable a todos los virus y que el usuario 
había pagado por hacerse con tan dudoso privilegio. 

Uno de los investigadores de McAfee en Hamburgo, Dirk Kolberg, 
realizó un seguimiento de esa operación. Siguió la pista de esos falsos 
antivirus hasta su fuente en Asia oriental y descubrió que el administrador de 
los servidores de Innovative Marketing se había dejado abiertos unos cuantos 
puertos, de modo que Kolberg pudo colarse en el servidor y explorarlo a 
placer. Ahí averiguó algo extraordinario. Innovative Marketing estaba 
amasando tal fortuna que había tenido que habilitar tres centralitas —.en 
inglés, alemán y francés— a fin de prestar asistencia a los usuarios que, 
perplejos, intentaban instalar sus inútiles productos. Gracias a los recibos 
hallados en el servidor, Kolberg supo que la estafa del scareware había 
generado ingresos por valor de varias decenas de millones de dólares, lo que 
lo convertía en uno de los ejemplos más ilustrativos de la delincuencia 
telemática. 

Además del scareware, existen los fraudes de «inflar y tirar» (pump-and- 
dump): los hackers acceden a webs financieras e inflan, por vía digital, el 
precio de las acciones para después venderlas y provocar un derrumbe de los 
valores. Y los fraudes de nómina, en que los delincuentes piratean los 
ordenadores de una empresa para inscribir a empleados fantasma en la base 
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de datos de la plantilla. Los hackers les asignan sueldos reales, que de mes en 
mes perciben las llamadas «mulas financieras». A cambio de una modesta 
remuneración, las mulas ingresan el dinero en un banco alejado del lugar del 
delito. 

De la misma manera que internet ofrece un sinfín de posibilidades 
creativas a quienes ejercen actividades legales, también los delincuentes dan 
rienda suelta a su fantasía en la red. 

El segundo gran grupo de fechorías en la red es el del ciberespionaje 
industrial. Según el informe anual de amenazas publicado por el gigante de 
las telecomunicaciones estadounidense Verizon, esta categoría representa el 
treinta y cuatro por ciento de la actividad criminal y todo apunta a que es la 
más lucrativa. Los avances en tecnología de la comunicación facilitan el robo 
de secretos industriales. Hasta la popularización de los ordenadores, robar 
material implicaba irrumpir de forma física en una empresa o, si el hurto lo 
cometía un infiltrado, encontrar la manera de obtener y distribuir los datos 
buscados. 

Hoy en día, esas dificultades han desaparecido: los ladrones industriales 
pueden piratear el sistema de una empresa y peinarlo en busca de proyectos, 
estrategias de mercado, nóminas o lo que sea que estén buscando, para 
después descargarlo. Antes de convertirse en el legendario Iceman, Max 
Vision trabajaba en la Costa Oeste como controlador de penetración, es decir 
que las empresas le pagaban por intentar introducirse en ellas. En una 
entrevista personal, vestido con el mono naranja que es el uniforme de la 
prisión, Vision me explicó que «en aquellos años, solo había una empresa a la 
que no pude acceder, una gran compañía farmacéutica estadounidense». Es 
comprensible: el valor de las empresas farmacéuticas reside en la 
investigación, y el robo de fórmulas para nuevos tratamientos puede acarrear 
pérdidas de cientos de millones de dólares y la caída del precio de sus 
acciones. 

Vision tenía clavada la espina de no haber podido romper ese sistema. 
«Naturalmente, después ataqué con un phishing y a los cinco minutos ya 
estaba dentro, pero no es lo mismo». Lo que quiere decir con eso es que envió 
mensajes infectados a las direcciones de correo electrónico de la empresa y 
que, en cuestión de minutos, uno de los varios miles de empleados cayó en la 
trampa. Queda, pues, demostrado que por infranqueable que parezca una 
fortaleza digital, las amenazas a la seguridad son incontables. 

De forma parecida, gracias a las facilidades para recabar y almacenar 
datos, hoy en día es mucho más fácil dar un golpe desde dentro en una 
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empresa. Como es sabido, Bradley Manning, el hombre acusado de haber 
robado los cables diplomáticos estadounidenses publicados más tarde en la 
web de Wikileaks, se las arregló para descargar todo el material en un CD 
disimulado como si fuera un álbum de Lady Gaga. 

Se sabe asimismo que el Stuxnet —hasta la fecha el virus más sofisticado 
del mundo— debió de introducirse en su objetivo aparente, las plantas 
nucleares de Irán, gracias a que alguien (a sabiendas o no) infectó el sistema 
informático con un CD o un lápiz de memoria. Los sistemas operativos 
nucleares de Irán no están conectados a internet, pero no dejan de ser redes, y 
el hecho de que el Stuxnet lograra infectarlos demuestra que se hallaban 
dentro del alcance de un cuerpo profesional de inteligencia. 

El Stuxnet simboliza de forma visible el tránsito hacia la tercera gran 
amenaza: la guerra informática. Es un virus tan complejo que los 
investigadores estiman que, de haberlo creado una sola persona, su desarrollo 
habría requerido varios años, lo cual significa que un equipo de ingenieros 
tuvo que trabajar en él durante un tiempo considerable. El crimen organizado 
no opera de esa manera. La única organización capaz de desarrollar el Stuxnet 
es un Estado capaz de dedicar abundantes recursos al diseño y producción de 
armas cibernéticas ofensivas y defensivas, lo cual no impide que quienquiera 
que produjera el Stuxnet tomara prestadas muchas técnicas y códigos 
informáticos de las decenas de miles de hackers de sombrero negro o gris que 
habitan el ciberespacio. Los hackers con mala fe alimentan la creatividad en 
todas las áreas del lado oscuro de la red. Tanto el ejército como el sector 
privado, la policía y las agencias de inteligencia adoptan al instante las 
herramientas que crackers y hackers desarrollan. 

Cuando el Stuxnet se infiltró con éxito en el sistema de control de varias 
instalaciones nucleares de Irán, las autoridades admitieron que había 
provocado una avería de gran envergadura en el funcionamiento de una 
estación altamente sensible. El suceso podría haber provocado una explosión. 
Esto demuestra que los cataclismos augurados por los llamados guerreros 
informáticos ya no pertenecen tan solo al plano teórico. A pesar de la 
gravedad que tuvo en su momento, el ataque a Estonia fue una fiesta 
comparado con lo que presagia el Stuxnet. 

A los guerreros informáticos se los conoce también como segurócratas 
informáticos; ellos son los profetas que anuncian que el cielo está a punto de 
desplomarse sobre nuestras cabezas. Uno de los más elocuentes es Richard 
Clarke, que en su libro Cyber War describe la situación siguiente: 
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Cuando llegas a la sala de situación, el director de la 
Agencia de Sistemas de Información de Defensa te está 
esperando al otro lado del teléfono de seguridad. 

La FEMA, la Agencia Federal de Gestión de Emergencias, 
ha informado de importantes incendios en refinerías y de 
explosiones en Filadelfia y Houston, así como de la liberación 
de letales nubes de gas cloro en varias plantas químicas de 
Nueva Jersey y Delaware. 

El Centro Nacional para el Control del Tráfico Aéreo de 
Herndon, Virginia, ha sufrido una caída total de sus sistemas. 


La mayoría de los segurócratas alegan que la única manera de evitar un Pearl 
Harbor digital o ciberapocalipsis es invirtiendo dinero en sus empresas y 
laboratorios de ideas con el fin de intensificar la investigación sobre el tema. 

De hecho, eso ya está ocurriendo. Los sucesos de Estonia aceleraron el 
camino hacia la militarización del ciberespacio. La OTAN empezó por 
aceptar la creación del Centro de Excelencia para la Ciberdefensa 
Cooperativa, de majestuoso nombre, en Tallin en 2005. Pese a acoger con 
entusiasmo la idea de un ciberinstituto de operaciones bélicas, los Estados 
miembros se mostraron reticentes a poner dinero sobre la mesa (con la 
comprensible excepción del país anfitrión, Estonia). El proyecto no quedó 
archivado, pero encontró dificultades para avanzar mucho más allá del estadio 
de texto impreso en papel con membrete de diseño. 

«Nada más producirse el ataque —explica Peeter Lorents, eminente 
matemático estonio y uno de los fundadores del centro—, la atmósfera 
cambió y comenzamos a recibir ayuda de Bruselas y Washington. De hecho, 
mi primera reacción al saber del ataque fue telefonear a Francia y pedir dos 
cajas de champán Cristal para el señor Putin. Con ese ataque, los rusos habían 
garantizado el futuro de nuestro centro». 

En Washington sin duda sonaban ya todas las alarmas. Varios sucesos 
ocurridos inmediatamente antes o después del incidente estonio convencieron 
en 2009 a la entrante administración Obama de que era necesario mejorar la 
ciberdefensa a toda costa. Poco después de los sucesos de Estonia, uno de los 
más importantes organismos de vigilancia global de Estados Unidos, la 
Agencia Nacional de Seguridad (NSA), se dio cuenta de lo grave que había 
sido la pérdida de un avión de reconocimiento EP-3E Aries que, en abril de 
2001, cayó en manos de las fuerzas aéreas chinas. El piloto había conseguido 
destruir todos los programas antes de estrellarse, pero el hardware estaba 
intacto y, nada más caer en manos de los chinos, estos sometieron su 
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avanzada tecnología a un proceso de ingeniería inversa que habría de 
permitirles localizar y descodificar comunicaciones encriptadas. Poco después 
de la entrada de Obama en la Casa Blanca, China empezó a probar su nuevo 
juguete y la NSA detectó que el país disponía de nuevos instrumentos para 
interceptar comunicaciones. Por lo visto, China quería hacerle saber a 
Washington que había conseguido piratear con éxito su tecnología. 

El gobierno de Estados Unidos no se conformó con prestar su apoyo al 
centro de ciberdefensa de Tallin, que desde 2008 lleva a cabo proyectos de 
alta investigación, entre ellos complejas maniobras militares cibernéticas. Las 
redes informáticas habían adquirido tal importancia tanto para la estructura 
del Departamento de Defensa como para su capacidad ofensiva y defensiva 
que Robert Gates, el secretario de Defensa, tomó la trascendental decisión de 
crear una nueva rama militar: el ciberespacio. 

Esta quinta rama —hermana de las de tierra, mar, aire y espacio— es la 
primera esfera de operaciones militares creada por el hombre y las reglas de 
combate por las que se rige resultan de una opacidad casi absoluta. Además 
de esta rama militar, el Pentágono había creado el Cibercomando con el 
propósito de prevenir actividades hostiles en el ciberespacio y, en caso 
necesario, echar mano de armas ofensivas como el Stuxnet. Por el momento, 
Estados Unidos es reconocido como el país líder en cibercapacidad ofensiva. 

No debe confundirse la expresión «cibercapacidad ofensiva» con la 
posibilidad de emplear armas convencionales controladas por sistemas 
informáticos. El mejor ejemplo de este segundo tipo de arsenal son los 
vehículos no tripulados (utilizados de forma regular por Estados Unidos en 
Afganistán y en Pakistán), capaces de llevar a cabo misiones de vigilancia y 
combate bajo el pilotaje de un especialista en Nevada. 

Las armas informáticas son herramientas de pirateo mediante las cuales 
un soldado informático penetra en los sistemas de una ICN (infraestructura 
crítica nacional) enemiga, como por ejemplo sus redes energéticas o de 
suministro de agua. Una vez obtenido el control del sistema, el 
cibercomandante puede ordenar su paralización (o, como sabemos en el caso 
del Stuxnet, desencadenar una peligrosa serie de explosiones), de tal modo 
que, en cuestión de días, la comunidad afectada puede experimentar una 
regresión tecnológica a la Edad de Piedra. 

Al menos en teoría. Por el momento, Estados Unidos es pionero en el 
desarrollo de armas informáticas, si bien China, Francia e Israel le pisan los 
talones, a no mucha distancia de la India y Gran Bretaña. 
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La militarización del ciberespacio era previsible; lo que nadie sabe es 
adónde puede conducirnos. En un artículo aparecido en The New Yorker, el 
sagaz Seymour Hersh analizaba las consecuencias de que China se hubiera 
apropiado de los secretos ocultos en el disco duro del avión de 
reconocimiento: 


La debacle del EP-3E alimentó un largo debate en el 
ejército y en la administración Obama. Muchos líderes militares 
interpretan la respuesta de China como una advertencia sobre 
vulnerabilidades presentes y futuras, sobre la posibilidad de que 
China, o cualquier otro Estado, pueda utilizar sus crecientes 
habilidades cibernéticas para atacar infraestructuras civiles y 
complejos militares en Estados Unidos. Frente a estos, están 
quienes abogan por una respuesta civil a la amenaza, centrada 
en la difusión del uso del encriptado. Su temor es que un exceso 
de confianza en la voluntad del ejército pueda tener 
consecuencias adversas para la privacidad y las libertades 
civiles. 


Todo apunta a que la tendencia será designar al ejército como árbitro supremo 
en el campo de la ciberseguridad. En octubre de 2010, el presidente Obama 
encomendó a la Agencia de Seguridad Nacional —parte del Pentágono— que 
colaborase con el Departamento de Seguridad Nacional y el sector privado en 
las tareas de seguridad cibernética del país. En China, el Ejército Popular de 
Liberación es la principal institución encargada de velar por la seguridad 
cibernética interior y exterior, mientras que en Oriente Próximo las Fuerzas 
de Defensa israelíes son fuente de inspiración de extraordinarias 
investigaciones realizadas en el campo de la guerra informática, cosa que 
permite a Israel enfrentarse a rivales mucho más poderosos que él en este 
terreno. 

Llegados a este punto, alguien podría preguntarse, y con razón, qué 
relación guarda todo esto con la delincuencia informática. 

Las amenazas del ciberespacio son reales y peligrosas. En un mundo 
ideal, un Estado democrático velaría para que esta tecnología fundamental 
mejorara la vida de sus ciudadanos sin causarles perjuicios. De igual modo, el 
Estado no debería ceder a la tentación de atropellar nuestros derechos e 
intimidad. Permitir que el ejército asuma un papel preponderante en la 
defensa de las redes civiles supone un yerro garrafal. Pero, puesto que las 
armas informáticas tienen potencial para paralizar las infraestructuras críticas 
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de un país (y destrozar de paso la vida de sus habitantes), debe contemplarse 
la intervención del ejército en casos de emergencia. Dichos casos deben tener 
carácter excepcional y verificable. 

La responsabilidad de supervisar las distintas clases de amenazas — 
delincuencia informática, ciberespionaje industrial y guerra informática— 
debe recaer sobre organismos diferentes. Los cuerpos policiales reconocidos, 
como el FBI o el Servicio Secreto, tendrían que hacerse cargo de la 
delincuencia telemática; las empresas y compañías deberían desarrollar sus 
propios sistemas de ciberseguridad o contratar los servicios de empresas 
especializadas; en cuanto al gobierno civil, debería contar con su propia red 
de defensa, en tanto que el ejército tendría que proteger sus propios sistemas. 

A primera vista parece bastante sencillo. Pero en la vida real los 
compartimentos se solapan, debido, entre otras cosas, a las interconexiones de 
la red. Además, a día de hoy desconocemos la respuesta al gran enigma de la 
ciberseguridad: ¿cómo reconocer un ciberataque? 

Para responder a ello, un ciberdefensor necesita conocer dos datos vitales: 
la procedencia del ataque y la motivación del atacante. Cuando el atacante es 
un profesional, ni siquiera el mejor defensor es capaz de hallar respuestas. A 
lo sumo, puede barajar hipótesis, que —al no ser más que suposiciones— 
pueden desembocar en decisiones erróneas, malentendidos y, en última 
instancia, conflictos. 

Imaginemos que los cuerpos policiales, el sector industrial y el ejército se 
ciñen a su tarea de proteger al Estado contra los peligros arriba citados. 
Siguen quedando dos actores, siempre presentes sea cual sea el tipo de 
amenaza: el policía infiltrado y el hacker. El primero intenta hallar la solución 
del enigma (aunque no necesariamente para compartir sus hallazgos); el 
segundo se encarga de formular el enigma de tal manera que resulte insoluble. 

Las agencias de inteligencia rastrean la red como un gato negro sobre un 
fondo oscuro, con sigilo y relacionándose solo cuando de lo que se trata es de 
fingir, ganar adeptos o sembrar confusión. Ese fantasmal modo de proceder 
forma parte de los genes de los agentes infiltrados, pero también se explica 
por la fascinación, admiración incluso, que los servicios de inteligencia 
sienten hacia sus principales enemigos en el ciberespacio: los hackers. 

Hasta hace poco, los defensores de la red daban por hecho que los hackers 
eran los cerebros de todos los ataques que se producían. Esto ha cambiado en 
los últimos cinco años con la aparición del malware «comercial». Hoy en día, 
muchos hackers ya no se ganan la vida pirateando tarjetas de crédito y 
cuentas corrientes o por medio de otras astucias, sino que se dedican 
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simplemente al desarrollo y la venta de troyanos, virus y gusanos. Se trata de 
programas sencillos que no requieren conocimientos especializados por parte 
del usuario. Su forma más habitual es el botnet. Los hackers arriendan botnets 
para lanzar ataques DDoS destinados a fines tales como extorsiones oO 
venganzas durante un par de días, como mucho una semana o un mes. Como 
es natural, los hackers que venden botnets y virus poseen la habilidad técnica 
necesaria para controlar la duración del arriendo y los programan con fecha 
de caducidad; superada esta, los clientes —casi siempre delincuentes de tres 
al cuarto— dejan de poder utilizar el producto. 

Con todo, la aparición en la red de un mercado secundario de malware 
comercial no altera la verdad fundamental de que detrás de cada ataque 
informático —ya sea con fines de hurto, de espionaje industrial o bélicos— se 
esconde un hacker profesional. Para la elaboración de un ciberataque de veras 
dañino, y no simplemente molesto, resulta indispensable poseer grandes 
conocimientos técnicos. Esto significa que, aunque trabaje por cuenta de otra 
persona (trátese de un capo, un consejero delegado o un comandante), el 
hacker debe conocer en profundidad el objetivo establecido, si lo que 
pretende es diseñar un producto adecuado. Fuera cual fuese el equipo de 
hackers que diseñó el Stuxnet, por ejemplo, debía de estar familiarizado no 
solo con las plantas nucleares iraníes marcadas como objetivo, sino también 
con la red Siemens PLC que las gestionaba y con el tipo exacto de compresor 
diseñado por Vachon, una empresa finlandesa (aunque fabrica en China), así 
como con la empresa taiwanesa RealTek, cuyo certificado digital fue 
pirateado con el fin de engañar al programa antivirus del sistema iraní. 
Quienquiera que haya diseñado el Stuxnet sabía muy bien que debía elegir 
con cuidado a su víctima. 

En este sentido, los hackers son el elemento clave en la ciberseguridad, ya 
que conocen la solución del enigma. Dar con el hacker es el primer paso hacia 
la verdad. 

La abrumadora cantidad de recursos que los gobiernos dedican hoy en día 
a la ciberseguridad se invierte en «soluciones digitales», es decir, en combatir 
unos inventos con otros. Los fondos dedicados a comprender a los hackers, su 
cultura, su forma de pensar, sus intenciones y sus vulnerabilidades son 
insignificantes. Claro que no es fácil encontrar a un hacker. ¿Cómo saber, en 
internet, si la persona a la que acabamos de conocer es un hacker, un espía de 
la policía, un agente de inteligencia, un investigador de las fuerzas aéreas, un 
bromista, un terrorista o un extraterrestre? 


www.lectulandia.com - Página 173 


La confianza es el quid del asunto, y para ganarse la confianza de otros 
hay que ser paciente y cultivar las relaciones. Sin embargo, el tiempo es un 
bien escaso en el mundo de la seguridad informática. Nada refleja mejor las 
dificultades relativas a la confianza y al tiempo que el alejamiento de Dark 
Market de sus países de origen —Gran Bretaña, Alemania y Estados Unidos 
— y su traslado a un país cuya importancia económica y geoestratégica 
aumenta a pasos agigantados: Turquía. 
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26 


BILAL EN PITTSBURGH 


Pittsburgh, Pensilvania, febrero de 2008 


Era una fría y despejada mañana de invierno de 2008, y el inspector Bilal Sen, 
de la policía turca, echó un vistazo a través de la ventana de su despacho en 
dirección al puente Hot Metal de Pittsburgh. El puente cruza el río 
Monongahela ligeramente al este de su confluencia con el Allegheny, con el 
cual forma el majestuoso río Ohio, y en tiempos era utilizado para transportar 
metal fundido desde los altos hornos de Eliza, al norte, hasta los molinos de 
laminación del sur. 

Pero ese día no había tiempo para pensar en la nevada estética 
posindustrial de Pittsburgh. Acababa de leer algo inquietante en el foro de 
Dark Market. A juzgar por las noticias, a todas luces fiables, llegadas de 
Estambul, Cha0, el delincuente informático al que investigaba el inspector 
Sen, era «un pez gordo, rico y poderoso». Para un turco, aquella frase era fácil 
de descifrar: quería decir que el objetivo tenía amigos en las altas esferas, la 
peor pesadilla para un policía turco. 

El inspector Sen llevaba casi tres meses trabajando en la Alianza Nacional 
para la Formación en Informática Forense. El primer día estaba esperando en 
la recepción a ser recibido por el jefe de la organización cuando, por azar, 
apareció el agente Keith J. Mularski, radiante y encantador como de 
costumbre. Se presentó y, al saber que Bilal era turco, empezó a explicarle 
todo lo que sabía sobre Cha0, el famoso administrador y maestro criminal de 
Dark Market. Mularski y Sen hicieron buenas migas desde el principio. 

Nada más entrar en la zona de despachos del cuarto piso del 2000 de 
Technology Drive, el policía turco contempló extrañado la apariencia del 
lugar, que recordaba más a una empresa de seguros que al frenético entorno 
tecnológico de series televisivas como CSI Nueva York. Al fondo había una 
sala donde podían encontrarse todas las herramientas necesarias para el 
ejercicio de la investigación forense, máquinas que sirven en bandeja los 
secretos más recónditos de cualquier aparato digital. Pero esa sala era apenas 
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visible y se hallaba sellada para evitar que los objetos sometidos a examen 
pudieran ser contaminados por troyanos o malware (como sus equivalentes 
orgánicos, a veces los virus informáticos se transmiten por el aire). Aparte de 
eso, el recinto era un lugar tranquilo, ordenado y de lo más corriente. 

Esa primera mañana, Keith le mostró a Bilal la pizarra blanca de su 
despacho, donde el nombre de «Cha0» aparecía en lo alto de una pirámide de 
delincuentes vinculados a Dark Market. El agente turco sintió una punzada de 
vergiienza en su interior. Seis meses antes, y con la ayuda de sus compañeros 
británicos y alemanes, los federales habían hecho caer a JiLsi y Matrix, dos de 
los administradores más activos de Dark Market. Se habían practicado 
detenciones en Gran Bretaña, Alemania, Canadá y Francia, y se preparaban 
más en Estados Unidos. De aquí que el agente de Ankara considerase una 
mancha en su orgullo nacional, así como en su reputación personal, que un 
paisano suyo se contara entre los delincuentes informáticos más buscados del 
mundo entero. 

La policía turca, y en concreto el departamento contra el crimen 
organizado, había hecho grandes progresos a lo largo de la década anterior, y 
Bilal estaba decidido a demostrar que, aunque sus recursos fueran muy 
inferiores a los de sus colegas de Europa occidental y Norteamérica, la joven 
Unidad contra el Crimen Cibernético con sede en Ankara, la capital turca, era 
capaz de jugar en primera división. 

Agentes de policía de todo el mundo entraban y salían a todas horas de las 
oficinas del FBI. Viajan ahí para aprender de sus colegas estadounidenses, 
pero también para crear redes de asistencia mutua. La colaboración entre 
cuerpos de policía de distintos países se resentía a menudo de los 
interminables trámites burocráticos, y la amistad personal entre los agentes 
era la forma más rápida de esquivarla. 

A Bilal se le había concedido una estancia de tres meses. Para los 
federales, el turco representaba un contacto nuevo y potencialmente muy útil. 
En 2003 había sido uno de los dos fundadores de la pequeña Unidad contra el 
Crimen Cibernético, adscrita a la División contra el Contrabando y el Crimen 
Organizado. En comparación con los recursos de los delincuentes a quienes 
perseguía, los del inspector eran precarios. 

Bilal Sen estaba deseoso de aprender del FBI. No porque no tuviera 
experiencia; de hecho, había entrado en la policía a los quince años, en 1989, 
año en que firmó su acceso al extenuante curso de adiestramiento de agentes, 
el más largo del mundo, de ocho años de duración. Curiosamente, dada su 
escasa estatura y su aspecto meditabundo, el inspector Sen recordaba más a 
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un Hércules Poirot en versión turca que a la imagen arquetípica del duro 
policía balcánico curtido a base de enfrentamientos con bandidos rurales, 
cárteles urbanos de la droga y la indiferencia del sistema penal. 

El cuerpo de policía imponía un régimen severo, pero lo que más le dolió 
a Bilal no fueron ni la austeridad de los cuarteles ni los extenuantes cursos de 
asalto, sino la total ausencia de ordenadores. Desde muy joven había 
aprovechado la menor ocasión para escaparse a la sala de videojuegos de su 
ciudad natal de Eskisehir, a medio camino entre Estambul y Ankara, en la 
mitad norte de Anatolia. Tendría unos seis años cuando descubrió un juego 
llamado River Raid. El muchacho dedicaba todo su tiempo libre a pilotar un 
caza bidimensional con el que recorría un río abriendo fuego contra pequeños 
helicópteros, barcos, tanques y dirigibles, procurando, al mismo tiempo, 
repostar combustible. Atrapado por aquella misteriosa mezcla de repetición y 
recompensa ocasional que impide a tantos niños, adolescentes y jóvenes 
adultos despegarse de las pantallas de sus ordenadores, Bilal sentía por los 
videojuegos una obsesión semejante a la de muchos protohackers a esa 
misma edad. Como ellos, estaba dispuesto a todo con tal de vencer a la 
máquina. 

Fue quizá esa tozudez lo que ayudó al bisoño recluta a soportar su primer 
destino en una comisaría de pueblo en el lugar más perdido de Anatolia. 
Corrían los años noventa, pero allí la tecnología se reducía a una vieja 
máquina de escribir mecánica. Levantar acta de las declaraciones de 
testimonios se consideraba indigno de su cargo como agente, pero Bilal 
quería mejorar su mecanografía y pasaba horas y horas aporreando las teclas. 
El resto del tiempo, aquel prodigioso autodidacta se dedicaba a estudiar 
mandarín. 

Cuando solicitó entrar en la Unidad contra el Crimen Organizado, un 
cuerpo de élite, su superior le preguntó por qué estudiaba chino. «Ahora que 
China abrirá sus puertas al exterior —respondió—, el Departamento contra el 
Crimen Organizado necesitará hablantes de mandarín». La respuesta fue un 
éxito y se hizo con el puesto. 

Ya en la capital turca, el joven detective se matriculó en un máster en la 
Universidad de Ankara que pagó de su bolsillo y cursó durante sus horas 
libres. Escogió un tema desconocido en Turquía, «Oportunidades y riesgos 
del gobierno electrónico», que le permitió estudiar la relación entre 
privacidad, derechos civiles y delincuencia informática. 

Bilal Sen empezó a investigar la proliferación de la delincuencia 
telemática en su país. Pocos eran los agentes turcos capaces de hacerlo; los 
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únicos cuerpos del Estado concienciados de la importancia estratégica de la 
seguridad informática eran el ejército y las agencias de inteligencia. Pero, 
como es natural, estos no facilitaban información ni sobre su capacidad 
operativa ni sobre sus actuaciones. 

Con la ayuda de un compañero, Bilal hizo suya la hercúlea tarea de 
persuadir al rígido Ministerio del Interior de que destinase parte de sus 
codiciados fondos a la creación de una Unidad contra el Crimen Cibernético. 
Fueron necesarios tres años de súplicas, adulaciones y politiqueos. Por suerte, 
contaba con un colaborador experto en el arte otomano de caer en gracia a los 
burócratas del Ministerio del Interior. 

Como todas las unidades dedicadas a la delincuencia cibernética surgidas 
en los distintos cuerpos de policía del mundo, el nuevo departamento turco 
podía aprovecharse de la circunstancia de que prácticamente nadie entendía 
cómo funcionaba el lado oscuro de la informática. Una vez obtenido el visto 
bueno, los dos agentes gozaron de una libertad nunca vista, sin interferencias 
de ninguna clase, ya que nadie tenía la más mínima idea de cuál era su trabajo 
y no suponían ninguna carga para el erario. 

A diferencia del propio gobierno del inspector, que apenas si sabía en qué 
se ocupaba, sus colegas del otro lado del Atlántico no tardaron en tomar nota 
de sus logros. En el verano de 2007, mientras las policías de Alemania y Gran 
Bretaña arrestaban a Matrix001 y JiLsi, los administradores de Dark Market, 
el equipo contra la delincuencia informática turco ponía entre rejas a Maksik, 
uno de los ciberdelincuentes más importantes. Miembro destacado de Dark 
Market (se encargaba, entre otras cosas, de proporcionar dumps al hacker 
marsellés Lord Kaisersose), Maksim Yastremski, nativo de Járkov, en el 
noreste de Ucrania, había dado por hecho que en Turquía se hallaría seguro, 
no solo porque no se había arrestado a ningún delincuente informático en el 
país, sino porque las relaciones entre Ucrania y Turquía nunca habían sido 
mejores, sobre todo en los círculos del hampa. 

Los ucranianos, además, adoraban Turquía por su fabulosa costa; las 
deliciosas playas de Antalya eran destino obligado para los ciberladrones de 
ambos países. 

El Servicio Secreto estadounidense llevaba dos años tras los pasos de 
Maksik. En 2006, habían logrado acceder a su portátil y posteriormente 
habían concertado varias reuniones entre él y un agente encubierto en 
Tailandia, Dubái y Turquía. Hasta entonces, la colaboración con Turquía 
había sido difícil, cuando no imposible, pero con la detención de Maksik bajo 
el tórrido sol de Antalya, la policía turca había dado a entender que no solo 
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estaba dispuesta a colaborar en materia de delincuencia informática, sino que 
sabía cómo hacerlo. 

A pesar de que JiLsi y Matrix habían desaparecido de los foros, el resto 
del grupo seguía activo; de hecho, Dark Market estaba experimentando un 
nuevo aumento de su actividad. Irónicamente, la clave de aquel resurgimiento 
se hallaba en la detención de otro delincuente: Iceman. 

En septiembre de 2007, la policía estadounidense había conseguido por 
fin localizar a Max Vision en su escondite del centro de San Francisco. Con la 
desaparición de Iceman, Carders Market se había desmoronado, de modo que, 
en tanto que Mazafaka se hacía con el control del mercado de tarjetas ruso, 
Dark Market se convertía en líder indiscutido de la ciberdelincuencia en 
lengua inglesa. Directa o indirectamente, la página seguía generando cada 
mes cientos de miles de libras en dividendos ilegales y su popularidad entre 
tarjeteros y hackers seguía siendo tan grande como siempre. 

Quedaban en Dark Market tres actores principales: Cha0, Master Splyntr 
y Shtirlitz. Pronto se les uniría el misterioso Lord Cyric. La presencia de Lord 
Cyric suscitaba antipatía y devoción a partes iguales entre los tarjeteros. 
Quienes lo aborrecían creían que era Mularski, el topo del FBI, aunque 
también circulaban sospechas de que Master Splyntr y Shtirlitz podían estar 
trabajando para o con las fuerzas de seguridad estadounidenses. En lo que 
todo el mundo, tanto hackers como agentes, estaba de acuerdo era en que 
Cha0 era el más peligroso de los que quedaban. 

A diferencia de las abultadas carpetas relativas a sus compañeros de Dark 
Market, Mularski y Sen conocían tan solo dos datos destacables acerca de 
Cha0: que vivía en Estambul y que dirigía un próspero negocio dedicado a la 
venta de clonadoras, instrumentos indispensables para cualquier estafador de 
la Edad del Plástico. Sin embargo, no disponían ni de un nombre real, ni de 
una dirección física, ni de una dirección IP, ni de socios conocidos. O bien 
Cha0 no existía (lo cual no era imposible), o bien jamás había cometido 
ningún error. 

Si se trataba de lo segundo, podía ser que Cha0 hubiera perfeccionado un 
sistema para no dejar huellas digitales, impidiendo con ello que los sabuesos 
forenses pudieran dar con su paradero. El responsable de parte de ese sistema 
de enmascaramiento era Grendel, que en sus ratos libres prestaba ayuda 
(remunerada) a Dark Market. Cosa irónica, ya que Grendel proporcionaba 
también los shells que ocultaban la localización de los servidores de Mularski. 
Grendel, que en la vida real trabajaba para una empresa de seguridad aplicada 
a las tecnologías de la información en Alemania, facilitaba sus servicios a 
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Dark Market por invitación de JiLsi. Resulta contradictorio, pero muy 
característico de Dark Market, que terminara ofreciendo seguridad tanto a los 
delincuentes como a los policías de la web. 

A pesar de sus esfuerzos, Bilal Sen no había conseguido relacionar el 
estilo (o modus operandi, como lo llama la policía) de Cha0 con el de 
ninguno de los delincuentes conocidos en Turquía. Parecía reunir las dos 
características fundamentales de quienes frecuentan el lado oscuro de internet: 
poseía habilidades técnicas prodigiosas y, a la vez, era un delincuente 
profesional que cuidaba todos los detalles y no dejaba nada al azar. Incluso 
cabía la posibilidad de que Cha0 fuera el nombre colectivo de una 
organización bien regulada, aunque los análisis lingiísticos sugerían que los 
mensajes que colgaba en la red eran obra de una sola persona. 

Por eso, cuando Bilal fue advertido desde Estambul de que Cha0 era «un 
pez gordo», no solo se preocupó, sino que supo que en el futuro, y a pesar de 
la gran velocidad a que estaba modernizándose su país, tendría que actuar con 
tacto. 

Con el cambio de milenio, Turquía se había convertido en un destino cada 
vez más popular entre hackers, crackers y delincuentes informáticos. A 
finales de la década de 1990, buena parte de las actividades ilícitas de internet 
se realizaban desde ciertas regiones de los llamados países BRIC. Un 
economista de Goldman Sachs había denominado con esas siglas a Brasil, 
Rusia, la India y China por ser los países líderes de los mercados emergentes 
y el segundo grupo de poder global por detrás del G8 (si bien Rusia forma 
parte de ambos). 

Los BRIC compartían importantes características sociales y económicas. 
Poseían economías dinámicas y en proceso de apertura tras varias décadas de 
estancamiento; eran países con un gran número de habitantes y con políticas 
que, combinadas, se traducían en una elevada tasa de crecimiento; al mismo 
tiempo, su transformación en actores globales dinámicos iba acompañada de 
un exuberante, y en ocasiones agresivo, nacionalismo. Sus sistemas 
educativos ofrecían una formación básica excelente que, unida a las flagrantes 
desigualdades en el reparto de la riqueza, habían generado una nueva clase de 
jóvenes pobres y sin empleo, pero —a diferencia de generaciones anteriores 
— con grandes aspiraciones materiales fomentadas por los mensajes 
consumistas inherentes a la globalización. Con el fin de satisfacer dichas 
aspiraciones, una minoría empezó a frecuentar las cafeterías de internet, a 
salvo de la vigilancia policial o de cualquier otro tipo, donde encontraron mil 
maneras para formarse en el arte de los hackers. 
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Turquía figuraba como miembro honorífico de los BRIC, con una 
economía que comparada, por ejemplo, con la de Rusia, parecía mucho más 
dinámica. Su población, de unos dieciocho millones, y sus tasas de 
crecimiento aumentaban a mayor velocidad incluso que las de los BRIC. 
Todo el mundo reconocía su importancia estratégica: con su acceso al mar 
Negro y al Mediterráneo y sus fronteras compartidas con Bulgaria, Grecia, 
Irán, Irak, Siria y Armenia, países que en las últimas dos décadas habían 
vivido agitaciones O guerras de un tipo u otro. La política turca siempre ha 
sido imprevisible. Pero, con el cambio de milenio, el floreciente poder 
económico del país y su creciente sofisticación le concedieron un papel 
protagonista en varias regiones geoestratégicas: Oriente Próximo, Asia 
central, el mar Negro y los Balcanes. 

El desarrollo de la infraestructura de internet del país fue lento durante la 
década de 1990, pero en los últimos años se ha puesto al día rápidamente. 
Estambul, el motor económico de Turquía, vivió un estallido de start-ups de 
éxito y muchas compañías de diseño, medios de comunicación y servicios se 
beneficiaron de ello. 

El inconveniente era que el tamaño del país, sus crecientes 
infraestructuras y la generalización de la instrucción juvenil en las clases 
medias eran caldo de cultivo para la delincuencia informática. Hasta la 
entrada en funcionamiento, en 2005, de la unidad de Bilal Sen, apenas 
existían medidas destinadas a impedir que crackers y hackers operaran en la 
red desde Turquía sin miedo a ser detectados. Con la Unidad contra el Crimen 
Cibernético las cosas empezaron a cambiar, pero las dificultades eran 
constantes. Si el inspector Sen lograba dar con Cha0, la unidad podría 
colgarse una importante medalla. 

Sin embargo, poco antes de regresar a Turquía desde Pittsburgh a 
mediados de marzo de 2008, el inspector recibió una noticia que complicaba 
aún más la investigación. Sus contactos de Estambul le comunicaban los 
detalles de una desconcertante entrevista concedida a Haber 7, una famosa 
agencia de noticias, por parte de un hacker turco llamado Kier, que confesaba 
ser un fugitivo de la ley. 

La reputación de Haber 7 se basaba en parte en el apoyo espiritual que 
recibía de un importante movimiento islamista turco conocido como la 
Comunidad Gúlen, dedicado a promover la filosofía de su líder, Fethullah 
Gúlen, exiliado en Estados Unidos. En tanto que agencia de noticias de la 
Comunidad, Haber 7 se mostraba abiertamente favorable al partido en el 
poder, el AKP, proislámico y demócrata. 
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El joven Kier había declarado a la agencia de noticias que no solo conocía 
a Cha0, sino que la persona, o personas, escudada tras el más conocido de los 
misteriosos avatares de Dark Market planeaba expandir su imperio criminal. 
El artículo incluía una fotografía del hacker conversando en una cafetería de 
Estambul. La imagen estaba tomada de espaldas, pero parte de su perfil era 
visible. 

Por entonces, Bilal no sabía todavía que aquel hacker era un joven 
llamado Mert Ortac, un personaje de lo más peculiar de quien se sospechaba 
que pudiera ser cómplice de otro delincuente llamado Cryptos, detenido en 
enero de 2008 bajo la acusación de haber atacado a Akbank, una de las 
mayores instituciones financieras de Turquía. En cierto modo, el caso de 
Akbank tenía mayor calado que el de Dark Market, ya que el pirata habría 
irrumpido en el sistema central del banco aprovechándose de una 
vulnerabilidad de su sistema operativo. Sin embargo, ni la policía de 
Estambul ni la División contra el Crimen Organizado tenían la menor idea de 
cuál podía ser el escondite de Ortac. Y de repente, ahí estaba, charlando con 
un periodista. 

Pese al hostigamiento de la policía de Estambul y de un equipo de agentes 
de inteligencia, Ortac explicó al reportero que en diciembre de 2007 les había 
dado esquinazo y se había pasado a la clandestinidad, de donde solo había 
salido para conceder aquellas extrañas y fragmentarias declaraciones. 

La entrevista ponía en evidencia a la policía de Estambul. La facilidad con 
que el delincuente había evitado ser capturado despertaba inquietud. Para 
acabarlo de arreglar, el hacker advertía que las detenciones por el caso 
Akbank no tendrían efectos en la seguridad de los bancos turcos, ya que otro 
delincuente, aún más peligroso, se hallaba en proceso de sustraerles hasta el 
último centavo posible, y su nombre era Cha0. (Por supuesto, Bilal Sen sabía 
de la existencia de Cha0, pero era la primera vez que oía su nombre en 
público y en boca de alguien tan misterioso). 

Ortac aseguraba también que Cha0 gozaba de la protección de 
funcionarios del gobierno. Por lo menos, la entrevista venía a confirmar que 
Cha0 era de verdad. Pero eso no impidió que, al leerla, Sen sintiera abrirse el 
suelo bajo sus pies. ¿Quién podía estar protegiendo a Cha0? ¿Y por qué? 
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EL PORTAL SUBLIME 


El inspector Sen levantó la vista de sus notas y sintió que su inquietud 
empezaba a convertirse en miedo. Acababa de saberse que Cha0 había 
enviado un mensaje al canal de noticias Haber 7 en respuesta a la entrevista 
con Ortac. El escrito era una diatriba sazonada con pizcas de megalomanía y 
de una férrea convicción: «Yo soy el último representante de la ley en Dark 
Market —clamaba—. Evito la intrusión de policías y rippers. Dicto las reglas 
y todo el mundo obedece». 

Los contactos del inspector sugerían que posiblemente Cha0 estaba más 
allá del alcance de la ley. Sen habló con un viejo amigo de la policía de 
Estambul. El caso era preocupante: ambos temían que Cha0 contara con un 
topo en el cuerpo que lo mantuviera al corriente de los avances de la 
investigación. Si no podían confiar en su equipo, en su apoyo y, sobre todo, 
en sus superiores, ¿cómo iban a resolver el caso? 

En la entrevista, Mert Ortag había hablado por extensión sobre la policía 
secreta y otras fuerzas relacionadas con el caso de Dark Market. En algunos 
países, aquello habría olido a teoría de la conspiración, pero tratándose de 
Turquía no podía descartarse que fuera cierto. Mert había dejado entrever que 
la operación de Dark Market podía salpicar a nombres de la élite económica, 
militar y política. 

La compleja estructura política del país se había redefinido desde que en 
las elecciones de 2002 el AKP se convirtiera en la fuerza política dominante. 
Teniendo en cuenta que el 90 por ciento de los turcos son musulmanes, que 
un partido declaradamente islámico hubiera ganado por mayoría no era en sí 
motivo de sorpresa. El AKP insistía en que su fe religiosa estaba subordinada 
a su compromiso democrático, de igual modo que muchos partidos 
conservadores europeos que se definen a sí mismos como democristianos. 

Pero Turquía tenía a gala provenir de otra fuerte tradición ideológica: el 
kemalismo. Bautizada en honor al fundador de la Turquía moderna, Kemal 
Atatiirk, su principio rector promovía la completa separación entre Iglesia y 
Estado. La ubicua presencia de la imagen de Atatúrk en tiendas, hogares, 
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despachos, cuarteles, hospitales y prisiones reflejaba la profunda admiración 
que despertaba el laicismo de su legado entre los turcos (así como el miedo a 
ser detenidos por desacato). 

Del kemalismo, no obstante, existen interpretaciones para todos los 
gustos. Sus dos defensores más acérrimos provienen de la élite laica de clase 
media: intelectuales, profesionales liberales y funcionarios, por un lado, y el 
llamado Estado Profundo, por el otro. El recelo entre ambos, y hacia el AKP, 
es considerable. 

La de Estado Profundo es una denominación significativamente siniestra 
que designa al complejo militar-industrial que ejerció un arbitraje decisivo en 
la política turca en el periodo de la posguerra. Al ser uno de los dos únicos 
miembros de la OTAN con frontera con la Unión Soviética (el otro era 
Noruega), Turquía desempeñó un papel clave durante la guerra fría, y sus 
aliados, Estados Unidos el primero, miraron hacia otro lado ante los flagrantes 
abusos que el ejército cometía contra la población. 

Las continuas interferencias de los servicios de seguridad en la vida 
política turca dejaron secuelas también en la economía del país, hasta el punto 
de que en ocasiones se hacía difícil distinguir entre el depredador y la presa. 
El Estado Profundo defendía aquel complicado y lucrativo estado de cosas 
apelando al kemalismo: si consideraba que el frágil orden democrático ponía 
en riesgo sus intereses económicos, el ejército intervenía con la excusa de 
proteger el legado de Atatúrk. Tradicionalmente, las fuerzas armadas no 
toleraban que nadie les saliera al paso. Parafraseando un viejo dicho turco: 
«Dale la mano al Estado Profundo y te arrancará el brazo». 

Sin embargo, en los últimos quince años los sucesivos gobiernos turcos 
han acometido una serie de reformas, en parte para cumplir con los requisitos 
de admisión en la Unión Europea. Pese a las voces temerosas de que pudieran 
tener oculto un programa islamista radical, los nuevos mandatarios del AKP 
han impulsado cambios de corte netamente liberal en la sociedad turca, como 
por ejemplo la abolición de la pena de muerte. Otra muestra de consolidación 
del Estado de derecho ha sido la promoción por parte del AKP de la 
separación entre las fuerzas policiales y el ejército. 

Este proceso ha tenido como consecuencia cambios notables y muy 
positivos. Algunos sectores del funcionariado han comenzado a comprender 
que su cometido principal no consiste en blindar sus privilegios, sino en 
prestar servicios al ciudadano de a pie, y que, si el Estado turco funciona de 
forma eficaz, su influencia y consideración crecen en el plano internacional. 
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Pero el lento nacimiento de la nueva Turquía no ha sido un proceso 
indoloro ni sus frutos han sido siempre los esperados, sino que ha ido 
acompañado de titánicas luchas políticas en las que las cambiantes alianzas 
entre fuerzas oscuras se han revelado letales para todo aquel que, a sabiendas 
O por ignorancia, se interpusiera en su camino. 

El principal teatro de operaciones de la guerra entre esas fuerzas se 
inauguró de forma oficial en 2007, con la apertura de la llamada investigación 
Ergenekon. Ergenekon, cuyo nombre alude a una antigua leyenda épica turca, 
fue como se denominó a una supuesta conspiración del Estado Profundo en la 
que líderes militares, políticos y de los servicios de inteligencia habrían 
colaborado con miembros del crimen organizado, periodistas, abogados y 
otros profesionales liberales. Su objetivo habría sido restringir la influencia de 
los gobiernos elegidos por vía democrática, en especial el AKP. No solo eso, 
sino que, según la fiscalía y los medios más afines al gobierno, los miembros 
de la trama Ergenekon podrían haber planeado un golpe para 2009 con el fin 
de arrebatar el poder al gobierno y restituírselo al Estado Profundo. 

Desde 2007, la policía ha practicado cientos de detenciones entre altos 
cargos militares y miembros de los servicios de inteligencia mediante las 
llamadas «oleadas» Ergenekon. Junto con estos, también han sido detenidas 
decenas de periodistas y abogados a quienes se acusa de colaborar con 
Ergenekon por motivos pecuniarios o ideológicos. Los intelectuales liberales, 
que forman un grupo reducido pero bien organizado, y la clase media, más 
amplia, han advertido que el gobierno democrático corre el peligro de incurrir 
en prácticas intimidatorias asociadas por lo común con el Estado Profundo. 
Las acusaciones contra la trama Ergenekon —signo de los tiempos— 
dependen en gran medida de pruebas digitales: escuchas telefónicas, 
mensajería instantánea y archivos informáticos, lo que demuestra las 
crecientes habilidades cibernéticas de los servicios de inteligencia del país. 

Bilal Sen no tuvo relación alguna con todo aquello, pero su diligencia, su 
compromiso y su vigor juvenil lo acercaban más a la nueva Turquía que a la 
vieja. Con todo, como la mayoría de la población, era muy consciente de lo 
delicado que era el contexto político en el que se movía. Lo último que 
deseaba un policía turco era convertirse en un pobre títere atrapado en la 
lucha entre el Estado Profundo y el gobierno democráticamente constituido. 
Casi todos los turcos evitaban en la medida de lo posible discutir en público 
acerca de Ergenekon, pero todos sabían que la investigación sobre el caso era 
el telón de fondo de la mayoría de los casos criminales de mayor relevancia, 
tuvieran o no implicaciones políticas. 
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Bilal tendría que andarse con cuidado, pero no estaba dispuesto a 
abandonar la búsqueda. 

En Pittsburgh, él y Mularski trabaron una sólida amistad y el agente del 
FBI compartió con él toda la información que pudo sobre Cha0. Entre los dos, 
empezaron a confeccionar un expediente. Mularski disponía de un amplio 
archivo reunido durante su etapa como infiltrado en Dark Market, y Sen 
aportaba su capacidad para descifrar el jeroglífico turco. El inspector quería 
examinar la personalidad de Cha0 para ver si encajaba con la de algún 
delincuente informático conocido en su país: numerosos documentos fueron 
escaneados y circularon entre Ankara, Estambul y Pittsburgh. 

Por si las cosas no fueran ya bastante confusas, los acontecimientos 
tomaron un nuevo derrotero tras el regreso del inspector Sen a Ankara. Una 
extraña imagen había empezado a circular por la red. 

Bilal no podía contener su rabia y su frustración. El agente Mularski le 
había enviado una fotografía aparecida en la web de Haber 7 y en la revista 
Wired, con sede en San Francisco. En ella se veía a Kier, el hombre 
misterioso, sentado en ropa interior en una silla sujetando, parece que a la 
fuerza, un folio en el que se leía: 


1. Soy Kier, mi verdadero nombre es Mert Ortac 
2. Soy socio de los medios de comunicación 

3. Soy una rata. Soy un cerdo 

4. Soy periodista 

5. Cha0 me ha jodido 


La mitad de la policía de Estambul había buscado a Kier —o Mert Ortac, por 
llamarlo por su verdadero nombre— en vano. Pero Cha0 no solo había 
conseguido dar con él, sino que lo había secuestrado y humillado. Era muy 
posible que su vida corriera peligro. ¿Qué demonios estaba pasando? 
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MY Ref NAME Ís 
MERT ORTAG 
T am Pasen 06 TÉ may 


T pa RAT, TL am Pra 
Tf, REPATER 






T Am FucxED 6Y Chal 


Bilal Sen partía de la base de no creer nunca a pies juntillas nada de lo que 
se ve en la red. Como visitante asiduo de foros criminales y estudioso del 
comportamiento de las personas en internet, sabía que la gente miente, 
engaña, exagera, falsea y conspira sin necesidad de razón alguna. Pero la 
historia de Dark Market en Europa, y sobre todo en Turquía, iba aún más allá 
y daba pie a auténticos casos de vileza, espionaje y traición. Y esa historia 
parecía no tener fin. 
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CHAO, CHAO 


Gracias a sus investigaciones con Keith Mularski, el inspector Sen sabía que 
Cha0 tenía una web propia: Crimeenforcers.com (juego de palabras con la 
expresión law enforcers —«fuerzas de la ley»—, a la que los delincuentes se 
referían desde hacía tiempo por sus iniciales, LE, dada la frecuencia con que 
aparecía en los foros de internet). 

En la página principal de Crime Enforcers, Cha0 daba a conocer sus fines 
y servicios: 


Somos una organización privada dedicada al desarrollo. 
Nuestra especialidad es la ingeniería electrónica e informática. 
Si necesita hardware especial (sobre todo alta tecnología) o 
software cuya producción, e incluso mención, está prohibida en 
su país por razones legales, etc., ha llegado al sitio adecuado. 

Ofrecemos desarrollo anónimo y deslocalizado para sus 
proyectos. Los fines a los que vaya a dedicar el hardware y el 
software que nos solicite no nos interesan. 

Huelga decir que para nosotros su privacidad es capital y 
que no compartiremos sus datos con nadie bajo ningún 
pretexto. No necesitamos nombres, direcciones, etc., solo su 
correo electrónico. Se le adjudicará un certificado y una cuenta 
segura para acceder a nuestro foro privado al objeto de que 
pueda realizar un seguimiento de su producto. También podrá 
hacer llegar sus consultas a los ingenieros responsables de su 
proyecto. 

Si ha accedido a esta web, significa que ya nos conoce. 
Nuestros productos no son baratos y no estamos abiertos a 
formar sociedad con nadie. Si quiere que sus sueños se hagan 
realidad, necesitará el dinero indispensable para invertir en 
ellos. Las consultas acerca de su proyecto también son de pago. 
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Si uno sabía leer entre líneas, el plan de negocio de Cha0 era evidente. Lo que 
ofrecía eran servicios logísticos y asistencia a personas interesadas en 
iniciarse en la delincuencia informática. En lugar de delinquir, prefería ayudar 
a los usuarios menos experimentados a introducirse en el sector. La 
delincuencia telemática empezaba a imitar los modelos de negocio del mundo 
real. 

En otras páginas de Crimeenforcers.com podía consultarse una lista con 
los productos de Cha0. Los productos estrella eran las clonadoras; en poco 
tiempo, el servicio de venta de clonadoras por correo adquirió un volumen de 
negocio considerable. 

Crime Enforcers también ofrecía lectores portátiles de tarjetas — 
datáfonos móviles como los que usan la mayoría de los restaurantes—. A 
principios de 2007, la policía inglesa destapó en varios puntos del país una 
red de empleados de gasolineras que se habían hecho con un lote de aparatos 
Salidos, al parecer, del taller del hacker canadiense Dron o del de Cha0. 
Cuando los clientes entregaban su tarjeta de crédito, el empleado, antes de 
introducirla en la máquina de pago auténtica, la deslizaba a través del lector 
ilegal, situado debajo del mostrador, y copiaba sus datos. 

Crime Enforcers ofrecía un buen número de consejos destinados a facilitar 
la labor de quienes daban sus primeros pasos en el terreno de la delincuencia 
informática. Para los más novatos, Crime Enforcers disponía de tutoriales en 
vídeo en los que un avatar de Cha0, dotado de una voz electrónica que 
conservaba el timbre y la cadencia de su dueño, daba instrucciones y consejos 
sobre cómo elegir un buen cajero automático antes de perpetrar un delito. 

En los vídeos se explicaba, por ejemplo, que no valía la pena instalar 
clonadoras en cajeros de zonas con un elevado índice de inmigración ilegal 
(se les daba poco uso, había muchos testigos potenciales y demasiada 
competencia). Por el contrario, se aconsejaba instalarlas cerca de locales 
nocturnos, «donde los niños ricos utilizan a menudo las tarjetas de crédito de 
sus padres». 

Cha0 se convirtió en uno de los proveedores de confianza de la industria 
criminal y su nombre empezó a circular por internet. A partir de ese 
momento, lo importante era consolidar su reputación y evitar ser localizado. 

Uno de sus rasgos característicos era el uso del globish, un idioma auxiliar 
formado a partir de un inglés macarrónico, que se ha convertido en la lengua 
franca de la red y que hace las veces de cifra capaz de comunicar a brasileños 
con coreanos y a búlgaros con indonesios; en poco tiempo, incluso la 
ortografía y el uso de los anglófonos nativos comenzó a adquirir rasgos 
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peculiares en internet. Así pues, uno podía suponer cuál era el origen de tal o 
cual mensaje en un foro, pero por lo general resultaba imposible identificar 
con certeza la nacionalidad de su autor o autora. 

No ocurría lo mismo con el ruso o el chino. Los mensajes de las webs 
criminales rusas estaban plagados de jerga local; un lingiista habría podido 
descifrarla, pero solo un superdotado habría sido capaz de imitarla sin ponerse 
en evidencia como extranjero. Los agentes del FBI podían moverse a su 
antojo por los foros de lengua inglesa, pero en las webs rusas difícilmente 
habrían podido pasar de la página de registro. Y es que, aunque en ocasiones 
los cuerpos de seguridad e inteligencia estadounidenses han echado mano de 
hablantes nativos de ruso y chino, nunca han disfrutado de los recursos 
económicos y lingiísticos necesarios para hacerse con el control de una 
página rusa, cosa que sí lograron en parte con Dark Market. 

En las páginas en inglés, la identidad de los interlocutores nunca deja de 
ser una incógnita. La red como medio permite, e incluso fomenta, que sus 
usuarios cambien de personalidad. Esto no es prerrogativa del mundo del 
hampa. Las webs de citas han sido desde siempre uno de los lugares con 
mayor concentración de mentirosos. En las salas de chat, los usuarios 
proyectan un talento y una importancia que rara vez se corresponden con la 
realidad cotidiana de sus vidas. La web alienta estos comportamientos porque 
los usuarios no tienen la posibilidad de contrastar los rasgos de conducta de 
sus interlocutores virtuales. La gente sabe que en la red se puede mentir sin 
miedo a ser descubierto o censurado. 

Los delincuentes no solo actúan siguiendo los mismos patrones de 
engaño, sino que son profesionales de la simulación. Dark Market es buena 
prueba de ello. El diabólico Devilman, por ejemplo, se presentaba en los chats 
como un joven vividor aficionado a las mujeres (aunque a la hora de la verdad 
prefería los dumps a buen precio). Sin embargo, cuando los detectives 
llamaron a la puerta del número 62 de Lime Tree Grove, en Doncaster, una 
Casa pareada de dos plantas donde residía John McHugh, el alter ego de 
Devilman, les abrió la puerta un hombre de sesenta y pocos años cuyas 
primeras palabras al ser arrestado fueron: «¿Les importa si antes me pongo la 
dentadura?». Ante el tribunal, en el momento de la sentencia, alegó como 
atenuante haber sufrido un trasplante de cadera y encontrarse a la espera de 
una segunda operación, cosa que restringía seriamente su movilidad. 

Pero los delincuentes informáticos profesionales deben generar confianza 
para hacer negocio: la reputación es crucial. En Dark Market solo era posible 
adquirir el título de vendedor demostrando a administradores y clientes que 
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uno era Capaz de sacar al mercado tarjetas de crédito robadas que funcionasen 
de verdad. Las transacciones estaban supervisadas por cinco administradores 
(tres después de la expulsión de JiLsi y la detención de Matrix): Master 
Splyntr, Shtirlitz y Cha0 (más tarde se les sumaría Lord Cyric). 

Cha0 ingresó en Dark Market en febrero de 2006, pero sus considerables 
habilidades le permitieron escalar rápidamente en la jerarquía. En cuanto 
hubo consolidado su posición como príncipe de Dark Market, pudo centrarse 
en su verdadera estrategia de negocio. Lo que él quería era convertirse en el 
primer vendedor de clonadoras y lectores ilegales del mundo. Esos aparatos 
tenían mucha demanda y, si conseguía crear un monopolio, podría pasar a la 
fase siguiente de su plan de maximización de ingresos con un esfuerzo 
mínimo. 

El de Estambul también tenía a su cargo el vital servicio de fideicomiso de 
Dark Market, acaso el eje en torno al cual giraba toda la página. Como 
mediador de confianza, aseguraba que los compradores y los vendedores de 
tarjetas y otros datos ilegales no se estafasen mutuamente. En ese sentido, 
Dark Market actuaba como una organización mafiosa en sentido estricto. La 
web ejercía como policía o árbitro del mercado criminal, de la misma manera 
que los «hombres de honor» empezaron su andadura ofreciendo protección a 
los mercados agrícolas de Sicilia en la segunda mitad del siglo xIx, antes de 
pasarse al tráfico de armas y los permisos de obras. 

La reputación de Cha0 como gestor fiduciario se benefició de su éxito 
como vendedor al por mayor de máquinas clonadoras. Todo el mundo 
confiaba en Cha0. Él, en cambio, no se fiaba de nadie. Jamás reveló su 
dirección IP; jamás envió ningún mensaje sin encriptar que pudiera implicarlo 
en una fechoría, y nadie pudo dar nunca con su localización digital. 

Una vez que Bilal Sen aceptó que Cha0 había creado en el ciberespacio un 
agujero negro donde se mantenía a salvo y fuera de la vista de la policía, 
decidió optar por métodos policiales más tradicionales para seguirle la pista a 
su sospechoso. Y es que la paciencia ha sido siempre un factor de suma 
importancia en la labor de los ciberpolicías. 
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GUERRAS CLON 


Estambul, Turquía, 2008 


Aunque angustiado por el hecho de que Cha0 pudiera gozar de la protección 
de las altas esferas, Bilal Sen perseveró en su búsqueda. Le prometió al agente 
Mularski que seguirían en estrecho contacto tras su regreso a Estambul. 
Habían discutido la posibilidad de solicitar los servicios de fideicomiso de 
Cha0 a través de Dark Market, por si de esa manera podían hacerlo salir de su 
guarida, pero pronto se dieron cuenta de que la operación era demasiado 
laboriosa y su éxito, poco probable. 

El otro dato que conocían, por supuesto, era que Cha0 comerciaba con 
clonadoras. Estaba visto que en la red era imposible dar con él. Pero si Cha0 
vendía aquellas máquinas, pensaba Bilal, sus operaciones tenían dos puntos 
débiles: la fabricación y el envío. 

La instalación de clonadoras en cajeros automáticos estaba convirtiéndose 
en algo tan habitual en Turquía que cada vez eran más los agentes de policía 
formados para detectarlas. Muchos de los dispositivos eran de factura tosca, y 
sus usuarios, simples aficionados. Sin embargo, al leer los informes de 
detención y confiscación, el inspector observó que en determinadas zonas no 
solo mejoraba su diseño, sino que parecían fabricarse en cantidades cada vez 
mayores. En alguna parte tenía que haber un taller. Los servicios de 
inteligencia alertaron a Sen de la posible presencia de fábricas de clonadoras 
en Rumanía y Bulgaria, así que solicitó ayuda a las fuerzas de policía de esos 
países. La otra posibilidad era que Cha0 disfrazara sus Operaciones como 
negocios legales y comprara sus aparatos a fabricantes de lectores de tarjetas 
con licencia en territorio turco. 

Una vez adquiridas las clonadoras, Cha0 debía distribuirlas. Mularski y 
Sen habían hallado pruebas que sugerían que sus productos viajaban a lugares 
tan lejanos como Estados Unidos, Nueva Zelanda y Sudamérica, en ocasiones 
en cantidades considerables. De ser así, era poco probable que se sirviera de 
mensajeros personales. A la vista de las cifras que se barajaban, era 


www.lectulandia.com - Página 195 


imposible. Bilal se preguntó cuáles podían ser los motivos de aquel aumento 
en la productividad, pero no llegó a ninguna conclusión. 

Lo que Bilal no sabía era que un año antes, a finales de la primavera de 
2007, Cha0 había tenido un enfrentamiento con Dron, el canadiense 
especializado en clonadoras al que el Servicio Secreto y el detective Spencer 
Frizzell estaban a punto de detener. Según Cha0, Dron era «un tipo difícil» 
que acababa con los nervios de sus clientes y que, por lo tanto, socavaba la 
reputación de Dark Market. La gran cantidad de mensajes a favor de Dron 
sugería que los motivos de Cha0 podían ser otros. De hecho, algunos 
miembros del foro sostenían que Cha0 atacaba a Dron por motivos 
personales. 

Alrededor de un mes antes de que el joven canadiense especializado en la 
venta de clonadoras cayera en manos del detective Frizzell, Cha0, valiéndose 
de su cargo de administrador, anunció que Dron sería expulsado de Dark 
Market sin posibilidad de readmisión. Cha0 ya podía poner en marcha su plan 
para dominar el mercado y pasar a la acción. 

Dark Market representaba una plataforma vital para los negocios de Dron: 
buena parte de sus máquinas se vendían gracias a los anuncios de pago que 
colgaba en el foro. Dark Market era también el principal vehículo publicitario 
de Crimeenforcers.com, a través de la cual Cha0 vendía sus propias 
clonadoras. Cha0, además, ofrecía a los futuros tarjeteros paquetes de 
soluciones en los que se incluían formación, manuales y todo el equipo 
necesario para introducirse en el negocio. 

Sin embargo, cuando Dron desapareció de la circulación, el modelo de 
negocio cambió: las partes interesadas dejaron de poder comprar sus 
clonadoras; a partir de entonces tendrían que alquilarlas. Cha0 seguiría 
enviándoselas, pero con una leve modificación. 

Tras la expulsión de Dron, Cha0 aumentó el precio de las máquinas: 
alquilarlas costaría en adelante siete mil dólares, frente a los cinco mil que 
hasta entonces costaba su compra. Tras el pago, además de la clonadora, a los 
clientes se les enviaba un teclado. Lo que debían hacer era instalar la 
clonadora en la ranura del cajero automático y el teclado encima del de la 
máquina. Así, cuando los clientes insertasen su tarjeta y tecleasen el número 
secreto, todos los datos quedarían registrados en el teclado falso y en la 
clonadora. Posteriormente, los dispositivos eran retirados y el cliente de Cha0 
podía volcar la información en un ordenador con un cable USB. 

Con las clonadoras de Dron, el cliente podía utilizar la información para 
obtener fondos de manera fraudulenta, pero con las de Cha0 los datos 
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descargados en el ordenador permanecían encriptados. Y la única persona que 
disponía de la clave para descifrar la información era... Cha0. De modo que 
el joven delincuente que con tantas precauciones había instalado la clonadora 
y el teclado en el cajero automático no podía ponerse a clonar tarjetas por sí 
solo; antes debía enviar la información a Estambul. Desde ahí, Cha0 
organizaba la retirada del dinero. En cuanto el dinero llegaba a sus manos, 
mandaba una parte al cliente que había hecho el trabajo sucio. Así funcionaba 
el sistema de alquiler de clonadoras; como estrategia, era mucho más 
lucrativa que las ventas de Dron. 

Como modelo de negocio, era francamente atrevido. Si lograba tener 
éxito, Cha0 podría amasar sumas inconcebibles a base de adjudicarse un 
amplio porcentaje de las operaciones de clonación de tarjetas del mundo 
entero. Lo único que tenía que hacer era continuar con la producción y el 
envío de clonadoras. En principio era fácil. Aunque, por supuesto, podía 
llegar un día en que la competencia tratara de debilitar su estrategia e incluso 
reinstaurar el viejo modelo de la venta directa. Pero, hasta entonces, y gracias 
a que controlaba el foro más influyente del mundo anglófono, Cha0 podía 
seguir viviendo a cuerpo de rey. 

En 2008, Estambul llevaba camino de convertirse en la ciudad con mayor 
crecimiento del mundo. Hacía quince años que la población no dejaba de 
aumentar de forma poco menos que descontrolada y la ciudad albergaba por 
entonces a unos quince millones de personas, de las cuales se estimaba que 
dos millones eran inmigrantes no registrados, no solo extranjeros, sino 
también turcos y kurdos de Anatolia que emigraban a la ciudad del Bósforo, 
el imponente paso de agua que separa Europa y Asia. 

A diferencia de muchas ciudades de Asia oriental, principalmente de 
China, Estambul no ha conseguido este formidable y enérgico crecimiento a 
expensas de su rutilante pasado. La historia se palpa en casi todos sus 
edificios. Cada rincón transmite el eco de las ricas tradiciones de más de un 
milenio de historia bizantina y seiscientos años de poderío otomano, dos de 
los imperios más mágicos, violentos, célebres y abrumadores de todos los 
tiempos. Contrariamente a la imagen que de él se ha divulgado, el Imperio 
otomano fue conocido durante buena parte de su historia por la tolerancia que 
sus gobernantes mostraban hacia los tres «pueblos del Libro»: judíos, 
cristianos y musulmanes. Su reputación violenta tiene su origen en las 
sangrientas masacres del pasado más remoto, y solo resurge durante la lenta 
agonía de los siglos xIX y XX. 
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Ya en tiempos de la República turca, nacida de las cenizas del imperio 
tras la primera guerra mundial, Estambul ha atravesado momentos difíciles: el 
primero, con el traspaso de la capitalidad del país a Ankara, una advenediza 
anatolia situada al este; y de nuevo, durante la guerra fría, cuando un ejército 
despiadado intentó acabar con el espíritu independiente de la ciudad. Las 
infraestructuras empezaron a tambalearse y la gente comenzó a emigrar, con 
lo que el número de habitantes se redujo a dos millones. Sin embargo, a partir 
de principios de la década de 1990, Estambul ha dado grandes pasos para 
recuperar su lugar entre las ciudades más dinámicas y fascinantes del mundo. 

Abarrotada, bulliciosa y exuberante, con una actividad económica que va 
y viene entre los sectores europeo y asiático, Estambul, con sus decenas de 
miles de coches y camiones destartalados abarrotando los dos puentes 
intercontinentales, a veces puede resultar sofocante. En el lado europeo, el 
tráfico avanza a paso de caracol en los alrededores de la plaza Taksim o a lo 
largo de Dolmabahce, los antiguos jardines imperiales, orientados en 
dirección a Asia. Incluso cuando el tiempo es fresco, el polvo reseca la 
garganta. Pero en la última década, la ciudad ha sido un hervidero de 
oportunidades —artísticas, comerciales y políticas—; además, hay pocos 
placeres mayores que tomar un transbordador en la parte europea y dirigirse, 
mientras se contempla el Bósforo, a la parte asiática para echarse una 
deliciosa cena entre pecho y espalda en Kadikúy. 

Desde la llegada al poder del AKP, y pese al miedo de que pueda ser una 
quinta columna del fundamentalismo islámico, la joven clase media de 
Estambul ha querido aprovechar el momento económico y ha abrazado la 
industria, el diseño, la alta tecnología y los servicios, creando empresas 
capaces de competir con las mejores de Europa, América y Asia. 

Naturalmente, patrullar la ciudad es una auténtica pesadilla, sobre todo 
porque los habitantes se fían poco de un cuerpo que durante décadas 
simbolizó más que ningún otro la represión de los aparatos del Estado. 

Con los nuevos delitos, nacen nuevas razas de policías, y como Bilal no 
guardaba relación alguna con las viejas tradiciones del Estado Profundo ni se 
había enemistado con personajes especialmente poderosos, fue bien recibido 
en Estambul cuando llegó desde Ankara, la capital, decidido a desmantelar la 
red de distribución de Cha0. 

Puesto que se trataba de Estambul, era como buscar una aguja en un pajar. 
Los negocios de exportación e importación legales, semilegales e ilegales son 
desde hace siglos la base económica de la ciudad, puerta de entrada y de 
salida de toda clase de mercancías. Desde la década de 1960, los 
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electrodomésticos llegan en grandes cantidades a Estambul a través de los 
Balcanes procedentes de Alemania, adonde unos dos millones de turcos 
emigraron en los años sesenta como Gastarbeiter, o trabajadores invitados. El 
volumen del negocio se disparó con la caída de la Unión Soviética y la 
apertura de nuevos mercados en Rusia, Ucrania, el Cáucaso y varias 
repúblicas centroasiáticas de lengua túrquica. 

Pero por algún sitio había que empezar, así que Bilal seleccionó las tres 
mayores compañías de mensajería de la ciudad. Él y sus ayudantes dedicaron 
medio día a instruir a los empleados de las empresas en el arte de distinguir 
máquinas clonadoras. Suelen registrarse como piezas sueltas de vehículos o 
herramientas para maquinaria. Incluso facilitaron clonadoras al personal para 
que se familiarizaran con su forma y peso. 

Los días transcurrían sin novedad, y el inspector Sen decidió regresar a la 
central de Ankara. Pasaron las semanas y empezó a sentir un desaliento que a 
esas alturas ya le resultaba conocido. Justo un mes después, llegaron buenas 
noticias desde Estambul: un hombre se había presentado en una de las 
empresas de mensajería con un paquete con destino a Finlandia. Había 
resultado ser una clonadora. La recepcionista llamaba desde la trastienda con 
la noticia de que el paquete incluía también un teclado. 

«¡Bingo!», pensó Bilal mientras le decía a la recepcionista que dejara 
marcharse al remitente: las cámaras de vigilancia ya habrían captado su 
imagen. Después de muchos meses, por fin el inspector había dado con una 
pista. Como era de suponer, el hombre había utilizado un documento de 
identificación falso, pero entonces apareció la segunda pista. El sospechoso 
había dejado tres números de teléfono, y uno de ellos era real. Realizaron una 
consulta para identificar al titular legal del teléfono móvil, pero no parecía 
encajar con ningún delincuente. Con todo, decidieron hacer un seguimiento 
del número y descubrieron que el hombre del paquete lo utilizaba. Era un 
número activo. 

«Este tipo podría conducirnos hasta Cha0», pensó Bilal. 

Pero el inspector se enfrentaba a un dilema. Fue entonces cuando la 
agencia de noticias Haber 7 publicó la fotografía de Mert Ortac, el hacker 
humillado, y la presión se dejó sentir aún con mayor fuerza sobre la policía de 
Estambul, que tenía el deber de encontrar a Ortac, y sobre Bilal, cuyo objetivo 
principal era Cha0. Había que agilizar el proceso. Pero, al mismo tiempo, 
sabía que no podía permitir que la impaciencia pusiera en peligro la 
operación. 
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Con el secuestro de Ortac, Cha0 había dado por primera vez señales de 
miedo y vulnerabilidad. Lo que nadie sabía era por qué lo habían trastornado 
tanto las declaraciones de Ortac a Haber 7. 

Cha0 sabía que Ortac era turco y creía que podía trabajar como confidente 
de la policía. Además, imaginaba que Ortac era un fugitivo y que estaba 
asustado. Si la policía lo encontraba antes que Cha0, existía el peligro de que 
descubriera todo el tinglado. 

Pero ¿quién era Mert Ortac y cómo había llegado a involucrarse en aquel 
delicado asunto? “Todo había comenzado durante la primavera anterior, 
cuando, sin saberlo Ortac, Matrix y JiLsi estaban a punto de ser detenidos, lo 
que pondría fin a la fase uno de la operación Dark Market y daría pie a la fase 
dos. 
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PARTE III 
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En el curso de un año, Dark Market me había obligado a recorrer un largo 
camino: desde la sede de Google hasta un restaurante de Cihangir, el barrio 
chic de la Estambul europea, justo debajo de la plaza Taksim. Ante mí 
danzaba la sonrisa eufórica de Mert Ortac. Tras pasar varias horas en su 
compañía, concluí que el adjetivo malicioso encaja con Mert mejor que con 
nadie más en el mundo. 

Durante una abundante cena en Kadikóy, mi amigo Sebnem y yo dejamos 
nuestros iPhones encima de la mesa. De pronto, ambos recibimos a la vez 
sendos mensajes. El mío había sido enviado desde el teléfono de Sebnem, y el 
de Sebnem, desde el mío. En ambos ponía: «¡Saludos de Mert!». Mientras 
leíamos los mensajes, Mert dejó escapar una risotada estentórea desde el otro 
lado de la mesa y dijo que había conseguido piratear el servicio de roaming. 
Por lo tanto, continuó, podía enviar mensajes desde y a cualquier teléfono del 
mundo. En las manos equivocadas (por ejemplo las de Mert), trucos como ese 
podían provocar una serie inacabable de  tragicómicos enredos 
shakesperianos. 

Había empezado a escribirme con Mert durante su estancia en prisión, 
desde donde me había referido fragmentos de una historia cuya audacia 
dejaba a la altura del betún a las demás leyendas sobre Dark Market. En la 
mayoría de mis intercambios con personas relacionadas con Dark Market, 
había notado que me escondían información; Mert, en cambio, me abrumaba 
con datos, anécdotas y lances de lo más alucinantes. 

Resulta indispensable que hackers, delincuentes informáticos y 
ciberpolicías mantengan un control absoluto sobre sus distintas parcelas 
vitales: deben tener muy claros los límites entre los terrenos de lo real y de lo 
virtual, a fin de no actuar en uno como si se encontraran en el otro. Pero desde 
hacía tiempo Mert era incapaz de distinguir la verdad de la ficción. 

Si Mert hubiese sido tan solo un mistificador absurdo y sin remedio, todo 
habría resultado muchísimo más fácil. Seguirles la pista a los hackers y 
policías vinculados con el caso Dark Market ha sido una de las experiencias 
más enervantes en toda mi andadura periodística. Sin embargo, mi 
exasperación ha rebasado todos los límites al analizar qué parte de lo que 
decía Mert era cierto. Acaso sería mejor decir que gran parte de lo que decía 
era verdad y, en general, verificable, solo que adornado con tanto aliño y 
floritura que, en ocasiones, parecía querer decir otra cosa. Curiosamente, 
cuando Mert mentía de forma flagrante, lo hacía a menudo con respecto a 
detalles banales y de fácil comprobación. Me dijo, por ejemplo, que había 


www.lectulandia.com - Página 202 


nacido el 10 de abril de 1982, cuando en realidad había nacido ese mismo día 
pero cuatro años más tarde. 

En los capítulos que siguen, refiero la historia de Mert tal como él me la 
contó. Existen, sin embargo, dos puntos importantes en que sus explicaciones 
no encajan, o por lo menos yo no he podido confirmarlas; es más, uno de los 
testimonios refuta de plano la versión de los hechos de Mert. En su momento, 
el lector será debidamente avisado. 

La prueba definitiva de la credibilidad de Mert se refleja en su respuesta a 
la pregunta que ha traído de cabeza a muchos estudiosos del submundo virtual 
desde los inicios de Dark Market: ¿quién era Lord Cyric? 
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EL MUNDO ONÍRICO DE MERT ORTAC 


Estambul, Turquía, mayo de 2007 


Mert Ortac respiró hondo al entrar en el salón de la opulenta mansión. El 
techo le recordaba al de la suite Sultán del Ciragan Palace, una obra maestra 
edificada a finales del siglo XIX a instancias de su alteza imperial, el sultán 
Abdiilaziz, y recientemente adquirida por la cadena hotelera Kempiñski. 
Volutas de pan de oro adornaban sillas y sofás, y los arabescos del papel de la 
pared refulgían a la luz del sol. 

De hecho, el Giragan Palace quedaba a ochocientos metros de la mansión, 
encerrada en un complejo férreamente vigilado. Los agentes patrullaban los 
alrededores y lanzaban hoscas miradas a todo el que intentara aparcar cerca. 
Sito en un extremo del barrio de Besiktas, el palacete miraba majestuoso 
desde lo alto de su colina del lado europeo hacia el estrecho del Bósforo y la 
parte asiática. Lo más llamativo era que en el salón al que habían conducido a 
Mert no colgaba ningún retrato de Kemal Atatiirk, el venerado fundador de la 
Turquía moderna. Los retratos de Kemal son de rigor en todo el país, y no 
solo en los despachos públicos y privados: a menudo puede encontrárselos en 
todas las habitaciones de un edificio. Mas no en esa, pese a formar parte de 
las dependencias regionales del Milli Istihbarat Teskilati (MÍT), la Agencia 
Nacional de Inteligencia de Turquía. 

Por lo común, Mert reaccionaba ante las situaciones comprometidas 
esbozando una contagiosa sonrisa maliciosa o huyendo sin más. Dadas las 
circunstancias, ninguna de las dos opciones parecía apropiada. Mert se quedó 
mirando a los elegantes camareros que servían té y café. Lo que más le 
llamaba la atención eran los blancos guantes inmaculados con que ponían las 
cosas sobre la mesa frente a él. Notaba una sensación irreal de bienestar y 
emoción controlada. Pero no duró mucho. 

Con él estaba un compañero del Instituto Tecnológico de Ciencias 
Avanzadas, pero no conocía a las otras tres personas que lo habían saludado. 
En cuanto los camareros se hubieron retirado en silencio, los tres hombres 
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dirigieron su atención hacia Mert. «Deseamos hacerle unas cuantas 
preguntas», dijo uno. Luego colocaron sobre la mesa una grabadora digital. 

Al poco rato estaba sudando debido a la presión del interrogatorio. Sin 
embargo, el propósito de la entrevista no era someterlo a un tercer grado. 
Durante seis horas y media, Mert tuvo que resolver un sinfín de enrevesados 
problemas matemáticos. En circunstancias normales, ni se le habría pasado 
por la cabeza hacerlo sin la ayuda de un ordenador. Sus anfitriones le habían 
pedido que se sirviese de una metodología corriente en el campo del cifrado 
consistente en dividir el número cincuenta y dos en números impares. Eran 
problemas de matemática avanzada y para resolverlos no contaba con más 
ayuda que un lápiz y un folio de papel. 

El joven programador no había conseguido superar el examen de 
selección para entrar en la lista de candidatos a un contrato de pruebas en el 
cuerpo de inteligencia. Había superado las pruebas de lengua extranjera 
(inglés) y de matemáticas, pero había suspendido clamorosamente la de 
lengua turca. Pese a todo, los examinadores habían quedado fascinados con 
sus habilidades informáticas. Su pericia como programador era sobresaliente 
y contaba con un historial admirable, de modo que lo admitieron como 
colaborador externo. 

En 2003, Mert se hallaba bajo investigación por fraude. No tenía más que 
diecisiete años, pero se las había arreglado para romper el código de las 
tarjetas inteligentes de la plataforma de televisión por satélite turca Digiturk. 
Esa podía ser una lucrativa fuente de ingresos. Digiturk había conseguido 
poco antes los derechos para retransmitir la Siiper Lig, la popular primera 
división de fútbol del país. Para decodificar el canal y poder disfrutar de los 
partidos, los abonados debían adquirir una tarjeta inteligente e insertarla en el 
receptor de la señal del satélite. 

Cuando Mert descubrió cómo piratearlas, empezó a reproducirlas para 
venderlas de forma ilegal en las calles de Estambul, lo que le permitió amasar 
una suma estimable. Todo el dinero que ganaba lo gastaba al momento en 
fiestas para sus amigos de Ankara, a quienes invitaba a Estambul corriendo 
con todos los gastos de viaje y alojamiento. Jamás supo administrar el dinero, 
ni siquiera después, cuando empezó a ganar cantidades considerables como 
tarjetero. 

Mert daba tanta importancia a los amigos porque necesitaba afecto. 
Tuviera o no consciencia de ello, Mert utilizaba el dinero de Digiturk para 
comprar amigos, y Estambul estaba lleno de veinteañeros encantados de 
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confraternizar con cualquiera dispuesto a financiar sus costosas fiestas. Claro 
que, cuando se acababa el dinero, los compañeros desaparecían. 

Por otra parte, Mert no veía la hora de demostrar que era alguien especial 
(y a la vista de su talento informático, sin duda lo era), por lo que a menudo 
exageraba sus logros. A medida que fue acentuándose esa tendencia, la 
conciencia de Mert empezó a fluctuar entre la realidad y la fantasía. Según 
parece, muy pronto perdió la capacidad de distinguir entre ambas. Su 
confusión era tal que, de haberse sometido a un detector de mentiras, la 
máquina tanto podría haber rebasado el nivel máximo como no haber 
registrado la menor alteración. Por lo demás, eso significa que su adaptación a 
la cultura de internet —el valle de las mentiras— fue sencilla. 

Tras pasar por varios trabajos en empresas relacionadas con las 
tecnologías de la información, en junio de 2006 Mert fue contratado por la 
concesionaria local de Toshiba, cuyo departamento de personal ignoraba que 
se hallaba bajo investigación por el fraude de Digiturk. El comportamiento de 
Mert no tardó en extrañar a sus compañeros de trabajo, a quienes les pareció 
cuando menos sospechoso que tuviera un certificado de licenciatura en 
ciencias de la criptología por la Universidad de Cambridge. 

La junta de la universidad, según rezaba el certificado, «expide el presente 
diploma como prueba en la ciudad de Londres en Cambridge, a día 22 de 
junio de 2004». 

Dicho así, parecía significar que le habían hecho entrega del diploma en el 
Cambridge Arms de Londres. Dondequiera que hubiera tenido lugar aquella 
ceremonia ficticia, el certificado era tan burdo que apenas cabía llamarlo 
«falsificación». 

Uno de sus compañeros en el departamento de tecnologías de la 
información de Toshiba estaba desconcertado por la frecuencia con que Mert 
se vanagloriaba de su vinculación con el cuerpo nacional de inteligencia. Su 
compañero también había colaborado con la policía secreta, sobre todo a 
finales de la década de 1990, cuando la agencia todavía no disponía de una 
división especializada en informática, y por eso mismo sabía que esas cosas 
no se dicen en público. Los continuos comentarios de Mert sobre su estrecha 
relación con la inteligencia del país fueron lo que despertó más recelo. 
Toshiba, no obstante, lo mantuvo durante seis meses porque, siempre que sus 
jefes le pedían que resolviera un problema, daba con la solución. Sabían que 
era inteligente, pero algo les decía que valía más no perderlo de vista. 

Una tarde Mert recibió una llamada de su enlace con el cuerpo de 
inteligencia. Había que realizar un peritaje forense de varios discos duros y 
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ordenadores salidos, según parece, de la nada. Su misión consistía en 
recuperar archivos, romper todas las contraseñas posibles y reunir el material 
incriminatorio. La entidad tenía como cometido principal garantizar la 
seguridad de "Turquía, y para ello había que realizar un seguimiento de 
multitud de organizaciones que el gobierno consideraba vinculadas al 
terrorismo. 

Hacia finales de 2006, Toshiba despidió a Mert. Su actitud era inadecuada 
y se jactaba en exceso de sus dudosas hazañas con las tarjetas de crédito, lo 
cual no le impedía solicitar una y Otra vez préstamos y pluses a sus colegas. 

Mert, sin embargo, sostuvo que había sido él quien abandonó Toshiba por 
instrucción de sus superiores en el servicio de inteligencia. Según él, la 
intención era encontrarle trabajo como infiltrado. 

Poco antes de incorporarse al nuevo puesto, su enlace lo puso a trabajar en 
un disco duro que formaba parte de una investigación sumamente delicada. 
En control querían saberlo todo sobre todos y cada uno de los archivos del 
disco, los visibles y los ocultos, los legibles y los encriptados. El disco 
pertenecía a un miembro veterano de una organización de izquierdas 
clandestina conocida por las siglas DHKP/C. 

Durante la década de 1990 y principios de la siguiente, el DHKP/C había 
sido una de las organizaciones de izquierdas más violentas y efectivas 
vinculadas a la lucha armada en Turquía. El Partido-Frente Revolucionario 
para la Liberación del Pueblo (el Partido era el brazo político y el Frente, en 
teoría, el militar) era un grupo escindido del Dev Yol, un movimiento 
revolucionario más amplio que se llevó la peor parte durante la represión 
militar de las décadas de 1970 y 1980. 

No eran aficionados; se tomaban la actividad política y terrorista con la 
máxima seriedad y se dedicaban sobre todo a atacar la colaboración entre el 
imperialismo —así lo calificaban— de la OTAN y el estamento militar turco. 
La organización consiguió atentar con éxito contra ciudadanos turcos, 
estadounidenses y británicos relacionados con el mundo de los negocios o con 
el ejército. A diferencia de la mayoría de los grupos armados de izquierdas, el 
DHKP/C presumía de poseer un sofisticado dispositivo de contrainteligencia, 
lo que lo convertía en uno de los principales objetivos de la Agencia Nacional 
de Inteligencia. 

Los agentes se habían incautado de un ordenador portátil, que entregaron 
a Mert en la mansión donde lo habían entrevistado la primera vez y donde 
siempre trabajaba. El agente que se lo entregó le informó de que el usuario era 
miembro de una web llamada Dark Market. Como también él era experto en 
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informática, le dijo a Mert que había seguido las conexiones de Dark Market 
hasta Singapur, donde le había perdido la pista, pero que sospechaba que 
podía tratarse de un proxy. Ignoraba quién podía estar detrás de la web, 
aunque las pruebas sugerían que el DHKP/C podría haber recurrido al tarjeteo 
como medio para maximizar sus ingresos. Era posible que el grupo estuviese 
investigando si los botnets podían serles útiles para alcanzar sus objetivos. 

Dark Market ya no era tan solo una web de delincuentes, sino un medio de 
financiación de una organización terrorista. 

El agente le preguntó a Mert si sabía algo acerca de esa página. 

Mert dijo que no. Siguió el rastro de la web hasta Singapur, pero no halló 
el modo de ir más allá. De hecho, eso se debía a los denodados esfuerzos de 
Grendel. No obstante, Mert le dijo al agente que conocía a alguien que podía 
estar familiarizado con Dark Market. 

Mert estaba agotado. El centro de inteligencia esperaba siempre que 
terminara los encargos de un día para otro. Por entonces, Mert había 
empezado a trabajar en la filial turca de la Fox. News International, la 
empresa de Rupert Murdoch, no era la propietaria exclusiva de Fox Turquía, 
ya que, según la ley turca, al menos el cincuenta y uno por ciento de las 
acciones debían estar en manos de un ciudadano del país. El accionista 
mayoritario de la cadena era un exdiplomático conocido por sus vínculos con 
la policía y los servicios secretos. Sus colegas en la Fox notaban que Mert a 
menudo, si no siempre, estaba distraído y que le costaba terminar los 
encargos, no porque no fuera capaz de realizarlos, sino porque siempre estaba 
haciendo otras cosas. 

Uno de los contactos de Mert le había advertido que vigilara a un tal 
Sadun Ozkaya, un adolescente de clase media cuyos padres temían que 
estuviera yendo por el mal camino. Acababa de salir de prisión y se hallaba 
bajo investigación por fraude. El contacto de Mert le había encomendado que 
lo ayudara a enmendarse, lo cual era como pedirle a un lobo que convenza a 
otro lobo de los beneficios de ser vegano mientras ambos lamen los huesos de 
un sabroso cordero. 

Mert sabía de criptografía y programación, y Sadun era un experto en 
tarjetas de crédito. Enseguida pusieron sus habilidades en común. Para 
sorpresa de Mert, Sadun le dijo que era miembro de Dark Market, a la que 
accedía utilizando dos alias: Cryptos y PilotM. A las pocas horas, Mert Ortac 
entraba en la página usando el segundo. 

«¡Oh, prodigio! —Debió de pensar Mert mientras exploraba los entresijos 
de Dark Market—. ¡Qué formidables criaturas son estas! ¡Bella humanidad! 
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¡Oh, espléndido mundo nuevo que tales gente produce!». 

Mert no daba crédito. Inspeccionó hasta el último rincón de la web, leyó 
los foros, aprendió a imitar el argot de los usuarios e intentó descubrir sus 
secretos por medios algo menos honestos. Hasta entonces, las aspiraciones 
delictivas de Mert se habían limitado al terreno de la decodificación y la venta 
de tarjetas inteligentes. En Dark Market, aprendió los trucos del fraude con 
tarjetas de crédito. La combinación de ambas habilidades los llevaría, a él y a 
Sadun, a un terreno algo más pantanoso, aunque económicamente rentable. 

Antes, sin embargo, se dedicó a trazar un esquema de Dark Market, cual 
si de un subterráneo laberinto plagado de trampas y tesoros se tratase. Sus 
superiores en la Agencia Nacional de Inteligencia querían que hallara pistas 
sobre el DHKP/C, pero a Mert la información que le interesaba era otra. 

Enseguida vio que Cha0, Master Splyntr, Shtirlitz y Lord Cyric eran los 
miembros clave de la web. Para entonces, JiLsi y Matrix001 ya habían caído. 

Le bastaron unos segundos para darse cuenta de que Cha0 era turco, 
aunque el descubrimiento fue accidental y no tuvo nada que ver con su pericia 
como hacker. Mientras leía los anuncios de clonadoras de Cha0, encontró una 
imagen al fondo de la cual podía verse el letrero de un establecimiento de 
kebabs escrito en turco. En otra fotografía, aparecía una clonadora junto a un 
paquete de detergente turco. 

Cuando informó de la fuerte presencia turca en la web, el interés por Dark 
Market de su supervisor en el cuerpo de inteligencia aumentó: no solo 
actuaban terroristas de izquierdas en la web, sino que estaba dirigida desde 
Turquía. Podía tratarse de una pista importante; era preciso seguir 
investigando. Mert recibió autorización para ponerse en contacto con Cha0 y 
otros connacionales que frecuentaran los foros de Dark Market. Poco después 
creyó haber identificado a otro: Lord Cyric. 

Mert se puso a buscar en los registros de principios de los años noventa, 
época en que se popularizó el uso de los BBS o sistemas de tablones de 
anuncios, una suerte de eslabón entre la mensajería electrónica e internet. 
Rebuscando entre los mensajes, descubrió algo que lo dejó boquiabierto: los 
nombres de Cha0 y Lord Cyric aparecían juntos. Concluyó que los dos 
cerebros de Dark Market se conocían desde hacía mucho tiempo. 
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SERVIDOR DE DOS AMOS 


El ficticio Lord Cyric había adquirido popularidad entre los aficionados a los 
juegos y la informática de los años ochenta y principios de los noventa. Era 
un dios autoproclamado que rondaba los Reinos Olvidados, un mundo de 
fantasía dejado de la mano de Dios en que los guerreros erraban en busca de 
tesoros y oscuros secretos enfrentándose a criaturas con poderes mágicos y 
ansias de destrucción. Los Reinos Olvidados eran el territorio por el que se 
movían los aventureros aficionados al juego de rol Dragones y mazmorras. 
Posteriormente, aquel inhóspito país de inspiración subtolkeniana aparecería 
en multitud de videojuegos, entre ellos, el popular Baldur*s Gate. 

El país fue descrito también en varias novelas basadas a partes iguales en 
Dragones y mazmorras y El señor de los anillos. La figura de Lord Cyric 
desempeñaría un papel clave en la mitología de los Reinos Olvidados, donde 
encarnaba a un dios de maldad insondable. Ya en relación con el mundo del 
tarjeteo y Dark Market, Cyric era conocido, entre otras cosas, como el 
«príncipe de la mentira», y entre sus diabólicos poderes se contaban el engaño 
y la ilusión, así como el don de promover conflictos e intrigas. 

Quienquiera que se ocultara tras ese avatar en Carders Market, Dark 
Market y otras páginas, lo que deseaba era proyectar el concepto que los 
jugadores de Dragones y mazmorras definían como «maldad caótica», o, lo 
que es lo mismo, dar vida a un personaje que siembra la confusión y la 
desesperanza de forma arbitraria allá por donde pasa. La definición encajaba 
con la afición del Lord Cyric de Dark Market al engaño, la ilusión, el 
conflicto y la intriga. Pocos tarjeteros llegaron a generar tanta hostilidad como 
él en el seno de la comunidad. Su especialidad era propagar acusaciones 
mediante rumores e infundios. 

Por razones nunca esclarecidas, Cyric se fijaba un objetivo, por ejemplo 
RedBrigade, quien tanto se había lucrado gracias a Shadow Crew en Nueva 
York. A continuación, lo atacaba por todos los flancos para dinamitar su 
reputación entre los tarjeteros. Indirectas e insinuaciones sobre la identidad de 
RedBrigade, comentarios en clave sugiriendo que en realidad trabajaba para 
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las fuerzas de la ley. Su lenguaje era brusco e infantil, aunque a la vez 
cuidadosamente elaborado con el fin de crear el mayor perjuicio posible al 
objeto de sus ataques. 

Cyric también tenía sus defensores, y ninguno tan incondicional como 
Cha0. Dotado de un cerebro privilegiado y de un complejo de superioridad a 
juego, Cha0 solo admitía dos hackers a su altura. Sentía un profundo 
desprecio por la división informática del FBI pero no tenía reparo en 
reconocer las habilidades de Max Vision, alias Iceman, pese a haber tenido 
algún que otro encontronazo por culpa de los ataques de Iceman contra Dark 
Market. En cuanto a su viejo amigo Lord Cyric, Cha0 llegaba al extremo de 
ponerlo por encima de sí mismo en el panteón hacker. 

En poco tiempo, Lord Cyric había conseguido convertirse en moderador y 
administrador de foros como The Grifters, Carders Market y, por último, 
Dark Market. Nadie sabía a qué jugaba ni qué se proponía, aunque las 
víctimas de sus ataques estaban seguras de que trabajaba para las fuerzas del 
orden, ya fuera como agente o como confidente. 

En Pittsburgh, el agente del FBI Keith Mularski no sabía qué pensar. 
Como tantos otros, creía que la persona que se ocultaba tras Lord Cyric vivía 
en Montreal, pero las averiguaciones de la división telemática de la Real 
Policía Montada resultaron infructuosas. De hecho, aunque las direcciones IP 
de Cyric conducían a Montreal, en ocasiones parecían apuntar también a 
Toronto, donde algunos sabuesos creían que residía. 

Varios hackers creyeron y divulgaron el rumor de que Lord Cyric era en 
realidad Brian Krebs, un periodista especializado en seguridad informática 
que por entonces escribía para The Washington Post. No había pruebas de 
ello; parecía más bien lo contrario: Krebs era un profesional demasiado serio 
como para arriesgar su reputación mezclándose con la gente a la que 
investigaba. Circularon muchos rumores, pero nunca llegó a saberse quién era 
en verdad Lord Cyric ni cuáles eran sus intenciones. 

Lord Cyric exhortaba a otros a que perpetrasen toda suerte de actividades 
delictivas, en tanto que él nunca llevaba a cabo ninguna, lo que reforzaba la 
tesis de que trabajaba para la policía o los cuerpos de inteligencia. 

Lo que nadie ponía en tela de juicio era que Lord Cyric poseía un 
conocimiento enciclopédico de la comunidad tarjetera y su funcionamiento. 
Por eso todo el mundo iba detrás de él: los tarjeteros para que los pusiera en 
contacto con colegas de su confianza O para averiguar si tenía información 
relativa a ellos, y las policías de Estados Unidos y Europa occidental para 
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intentar reclutarlo como parte de su cruzada contra la delincuencia 
informática. 

Cyric encarnaba la quintaesencia de la clandestinidad cibernética: 
aparecía como de la nada; exhibía una arrogancia ilimitada y detestable, y, 
sobre todo, sus motivos para dedicar horas y horas a colgar mensajes, 
enzarzarse en debates —a menudo fútiles— y zaherir a sus compañeros 
resultaban oscuros. 

Hasta que Mert Ortac descubrió que dos de los usuarios más prominentes 
de la embrionaria internet turca, el sistema de tablón de anuncios, se llamaban 
Cha0 y Lord Cyric, nadie empezó a atar cabos. 

Valiéndose de su característica mezcla de encanto y falsedad, Mert —que 
a finales de la primavera de 2007 firmaba como PilotM— se presentó a Lord 
Cyric como una tercera persona, conocido común de ambos. «¡Hola, viejo! — 
Le escribió—. ¿Qué haces en un foro cómo este?». Cyric, perspicaz, le hizo la 
misma pregunta al supuesto viejo amigo. Pronto, sin embargo, empezaron a 
discutir sobre temas de encriptado. Mert se dio cuenta de que Lord Cyric era 
un ingeniero informático extremadamente brillante, lo que confirmaba sus 
sospechas acerca de la verdadera identidad del personaje. Tras varios días, O 
semanas, intercambiando ideas e información, Cyric accedió a arreglar un 
encuentro virtual entre Cha0 y Mert (que seguía haciéndose pasar por otra 
persona). Mert empezó a tratar con Cha0 vía mensajes de ICQ encriptados (y 
en turco, por supuesto). 

«La verdad —le confesó Cha0 a Mert— es que no paso mucho tiempo en 
Turquía. Prefiero vivir en el extranjero». Decía que sus compatriotas no le 
caían muy bien y que, en la medida de lo posible, evitaba el trato con ellos. 
«Me llamo Sahin —dijo—, y no hablo en turco a menos que sea 
absolutamente necesario». Si se había dignado a hablar en turco con Mert, era 
porque los había presentado Lord Cyric. «Él y yo somos viejos amigos», 
admitió Cha0. 

En abril de 2007, Cha0 había expulsado a Dron de Dark Market, por lo 
que se había quedado sin nadie capaz de hacerse cargo de los 
microprocesadores de las clonadoras. Le preguntó a Mert si sabría hacerlo, y 
este accedió. A partir de ese momento se convirtió en cómplice de los turbios 
negocios de Cha0, pero a cambio ganó algo que no tenía precio: su confianza. 

Mert es la única persona que puede presumir de haber tenido trato íntimo 
con Cha0 y Lord Cyric, en tanto que estos no pueden afirmar con certeza si 
alguna vez intercambiaron mensajes con Mert, que siempre se hizo pasar por 
otra persona. Cha0 negó de forma explícita haber conocido o mantenido 
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correspondencia con él antes del fatídico día en que lo secuestró y colgó su 
fotografía en internet, a través de Haber 7. 

Es más: nadie en Turquía ni en ningún otro lugar del mundo ha 
reconocido nunca la existencia del misterioso Sahin. Aparte de la palabra de 
Mert, no hay pruebas de la existencia de Sahin ni de un posible encuentro 
entre ambos. Sin embargo, Mert tenía razón en algo: la amistad entre Lord 
Cyric y Cha0 venía de muy lejos. 

A todo esto, Mert seguía colaborando con la Agencia Nacional de 
Inteligencia turca, y muchas tardes, tras pasar buena parte del día fingiendo 
trabajar para Fox Turquía, explorando Dark Market o produciendo 
microprocesadores para la industria clonadora de Cha0, Mert informaba a sus 
contactos de los hallazgos realizados durante el día. Les habló de un spammer 
polaco llamado Master Splyntr; de Grendel, el genio de la seguridad; de Lord 
Cyric y Cha0; de los servidores de recuperación de que los administradores de 
Dark Market disponían en diferentes países europeos, y de las actividades del 
DHKP/C. 

Pero ¿qué se traía entre manos? Su superior en Fox Turquía se fiaba cada 
vez menos de él. Casi nunca terminaba las tareas que se le encomendaban y 
siempre tenía a punto una ristra de excusas para explicar sus ausencias del 
puesto de trabajo. Mert afirmaba padecer una grave enfermedad, y cada dos 
por tres pedía dinero prestado a sus compañeros. Si tenía tanto éxito en todo, 
se preguntaba su jefe, ¿cómo era posible que siempre le faltase dinero? 

Un día el jefe descubrió que Mert había pedido las contraseñas de todos 
sus compañeros. En teoría, las necesitaba para instalar una actualización 
importante en el sistema. El jefe, sin embargo, sospechó que Mert quería las 
contraseñas para fines menos honorables y frustró su plan justo a tiempo. 

En otra ocasión descubrió a Mert con una pila de tarjetas de crédito 
encima de la mesa. Más tarde, supo que tenía dos documentos de identidad, 
ambos con nombres falsos y fechas y lugares de nacimiento inventados. Por 
último, sorprendió a Mert navegando por una web que contenía instrucciones 
detalladas sobre cómo abrir cajeros automáticos. Cada día que pasaba, las 
necesidades económicas de Mert eran mayores y alcanzaban ya cifras 
alarmantes. 

Entretanto, Mert había conocido a Sanem, una mujer de ensueño de la que 
se había enamorado sin remedio. Sanem es la única persona en el mundo que 
puede confirmar o negar la extraordinaria historia de Mert. Sin embargo, se 
niega a hablar. 
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DELICIAS TURCAS 


El estadio Siikrii Saracoglu, en el bullicioso barrio asiático de Kadikóy, estaba 
lleno hasta la bandera para el último partido en casa de la temporada del 
Fenerbahce. Como ya se sabía que el Fenerbahce iba a ser el ganador de la 
Súper Lig, aquel partido, disputado un radiante domingo de finales de mayo, 
se había convertido en una ruidosa fiesta para su afición, una de las más 
apasionadas del mundo. 

Mert Ortac fue al estadio. Quizá de verdad, quizá solo en su fantasía. 

En los palcos de honor se respiraba una atmósfera expectante y cordial. 
Sahin y su lugarteniente de confianza, Gagatay Evyapan, esperaban el 
comienzo del partido, a las cinco en punto de la tarde. Los hinchas de 
Estambul están considerados de los más fanáticos de Europa, y se dividen en 
tres campos. Dos de ellos, Galatasaray y Besiktas, se hallan en la parte 
europea de la ciudad, mientras que las camisetas amarillas y azul marino del 
Fenerbahce son características del otro lado del estrecho, el asiático. Tanto 
Sahin como Gagatay eran hinchas declarados del Fenerbahce, y las visitas de 
este último a la ciudad solían coincidir con algún encuentro; de hecho, tenía 
un abono en el palco de honor. 

Entre los amigos invitados a ver el partido estaba Mert, quien, por lo que 
Sahin le había dicho a Cagatay, era una de las incorporaciones recientes al 
negocio de las clonadoras. Mert les presentó a su nueva novia, Sanem. Mert 
estaba ciego de amor por ella, y ella, cegada por la ostentosa riqueza de sus 
colegas. 

Sanem conocía de antemano el currículo de algunos de los presentes en el 
palco. No era difícil arrancarle secretos a Mert, que era un charlatán nato y, 
además, se moría de ganas de impresionar a la muchacha, a la que 
consideraba muy por encima de su categoría. La presencia de tipos poderosos 
como Sahin y su fornido compinche Gagatay haciendo el gallito por el palco 
debía de convencer a Sanem de que el pequeño Mert estaba bien relacionado. 
A no ser, claro, que el episodio del partido del Fenerbahce haya tenido lugar 
tan solo en la imaginación de Mert. 


www.lectulandia.com - Página 214 


Al muchacho le iban bien las cosas. Él y Sadun habían empezado a ganar 
grandes cantidades con la estafa de Akbank; como confidente de la Agencia 
Nacional de Inteligencia gozaba de una amplia inmunidad, y, además, se 
había ganado el respeto de Cha0, el miembro más importante de Dark Market. 
Pero, por encima de todo, pasaba los días y las noches en compañía de una 
mujer fabulosa y atractiva que parecía igual de enamorada que él. 

Llegó el verano y Mert decidió capitalizar su buena fortuna tomándose 
unas vacaciones en Antalya, en el codiciado hotel Adam é: Eve, cuyos 
diseñadores habían logrado combinar un presupuesto elevado con un peculiar 
mal gusto. El hotel dispone de enormes piscinas que rodean un atrio de luces 
de colores, y sus habitaciones son conocidas por los innumerables espejos que 
invitan a pasar noches de sexo desenfrenado. Alojarse en él no sale barato. El 
precio mínimo por habitación es de cuatrocientos dólares por noche, y los 
extras suelen ascender a una buena suma. Sin embargo, para la juventud 
guapa y rica del país era el destino de moda de la temporada. 

Nada más registrarse, Mert y Sanem se encontraron con Cagatay, que 
también había decidido pasar el verano en el sur. Gagatay le dijo a un tipo 
rechoncho con gafas que iba con él que Mert ayudaba a Cha0 con los 
«asuntos administrativos». El tipo rechoncho observó a Mert con gesto 
pensativo y exclamó: «¡Un momento! ¡Yo conozco a este tipo desde que iba 
en pantalón corto! ¿Qué haces metido en este negocio?». Mert, como siempre, 
respondió con su sonrisa maliciosa. 

Mientras él y Sanem se dirigían a la habitación, Mert dijo: «¿El otro tipo? 
Es Lord Cyric». Sanem le preguntó si Lord Cyric era más poderoso que Cha0, 
y Mert le dijo que no, pero recordó una vez más que a la muchacha lo que la 
atraía era ante todo el poder y, después, el dinero. 

Mert, en su enamoramiento, creía estar en el cielo. Era un tipo adinerado a 
quien respetaban tanto los delincuentes como los servicios de inteligencia. De 
puertas afuera, tenía un buen puesto en el departamento de tecnologías de la 
información de Fox Turquía, y, por si fuera poco, se disponía a pasar el 
verano en el Adam éx Eve con una mujer de bandera. Mejor imposible. 

Y es que, con la perspectiva del tiempo, agosto de 2007 marcó una breve 
edad de oro en el ensoñado mundo de Mert Ortac; por una vez, sus fantasías 
coincidían con la realidad. En cuanto volvió a Estambul, las cosas empezaron 
a escapársele de las manos y, con la llegada del otoño, se inició un periodo 
oscuro. Sanem y Mert adquirieron la costumbre de realizar costosos viajes de 
compras a lugares como la isla de Míkonos, en la vecina Grecia. La pareja 
podía llegar a gastarse miles de euros en un solo día, un desembolso excesivo 
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incluso para una cartera tan llena como la suya. Mert empezaba a cansarse de 
la tendencia de su novia al despilfarro, y ella, de sus secretos y mentiras. 

Poco después, Mert fue detenido bajo la confusa acusación de haber 
sustraído cinco mil euros a un amigo del hermano de Sanem. Para Fox 
Turquía, aquella detención era la gota que colmaba el vaso, así que lo 
despidieron. Por si fuera poco, la Agencia Nacional de Inteligencia decidió 
que Mert se había convertido en un lastre que no valía la pena seguir 
soportando. De un día para otro, Mert se quedó totalmente desprotegido y sin 
dos importantes fuentes de ingresos. 

Tras quedar en libertad bajo fianza, retomó el negocio de las tarjetas con 
Sadun gracias a las continuas vulnerabilidades de los sistemas de Akbank. Su 
inquietud se convirtió en desesperación al enterarse de que Sanem tenía un 
amante. La ruptura entre ambos se tradujo en un episodio tempestuoso 
rematado por un doloroso cruce de acusaciones. Mert creía que ella le había 
robado grandes sumas de dinero, y ella, a buen seguro, debió de pensar que se 
había vuelto loco. 

Al ver que el mundo se tambaleaba bajo sus pies, Mert decidió empezar el 
año con un viaje al sur para meditar sobre su futuro. Por el camino, siguió 
recibiendo malas noticias: Sadun había sido detenido y la policía había 
registrado el piso de Mert con una orden de detención. De haberse quedado en 
Estambul, a esas alturas ya lo habrían puesto entre rejas. Como de costumbre, 
ante la adversidad, Mert decidió esconder la cabeza en el suelo y buscar el 
modo de desaparecer. 

Tras regresar a Estambul con un nombre supuesto, empezó a tramar un 
plan de huida. Con uno de sus documentos de identidad falsos, solicitó —y 
consiguió— un pasaporte nuevo y sobornó a un funcionario del consulado 
francés a fin de obtener un visado. Acto seguido emprendió un tortuoso viaje: 
del territorio francés de la Martinica, en el Caribe, pasó a París y, finalmente, 
a Alés, una apacible población ochenta kilómetros al norte de la costa 
mediterránea de Francia. 

Mert estaba aislado. Sus recursos eran limitados, apenas hablaba una 
palabra de francés y, lo que era peor, no disponía de acceso a internet. Por lo 
menos podía consolarse pensando que se encontraba a salvo. Así pues, 
incapaz de otra cosa, Mert se sumió en un largo periodo de descanso y 
relajación. 

Después de la angustiosa experiencia como prófugo de la justicia turca y 
de la pelea con su exnovia, Ales no tardó en parecerle un agradable lugar de 
retiro. Por primera vez en muchos meses, tal vez años, podía olvidarse de las 
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medias verdades, los engaños, los robos y las prevaricaciones. Podía poner fin 
a la rígida compartimentación que exigían sus múltiples personalidades reales 
y virtuales y buscar su auténtica esencia; suponiendo, claro está, que la 
conservara. Quizá había llegado el momento de acabar con aquella locura; 
quizá era hora de enmendarse, buscarse un trabajo de verdad y sentar la 
cabeza junto a un mujer decente. Si jugaba bien sus cartas, todavía estaba a 
tiempo de hacerlo. 

De pronto, una mañana hacia las ocho, alguien llamó a la puerta. 

Mert estaba tendido en la cama sorbiendo un café. Hasta entonces, en 
Alées no había recibido visitas, y tampoco las esperaba. Se puso una bata, se 
dirigió hacia la puerta y, al abrir, se encontró con dos hombres cargados con 
sendas mochilas. «¡Hola, Mert! ¿Qué tal estás?», dijo el primero en turco. 
Mert respondió murmurando: «Je ne comprends pas...». «Vamos, Mert — 
intervino el segundo en inglés—. Sabemos quién eres. Lo mejor para ti es que 
nos invites a pasar». 

Tras tomar asiento en la cocina frente a una taza de café, uno de los 
hombres sacó una carpeta y la puso sobre la mesa. Mert pensó que debía de 
ser un norteamericano de segunda generación con raíces turcas, pues, aunque 
hablaba un turco coloquial, tenía algo de acento y cometía algún que otro 
error gramatical. El otro, que fue quien habló la mayor parte del tiempo, era 
estadounidense. 

A Mert le ofrecieron dos opciones: «O nos prestas ayuda incondicional, o 
le entregamos esta carpeta a la Sécurité». Mert echó un vistazo a unos folios 
donde figuraban tarjetas de crédito francesas que él y Sadun habían clonado al 
introducirse en las tripas del sistema informático de Akbank. Los dos 
hombres le recordaron que en Francia podían condenarlo a ocho años de 
prisión por un solo caso de fraude con tarjeta de crédito. 

No tenía alternativa. Pero, antes de asentir, Mert quiso saber a quién 
representaban los dos hombres. Le dijeron que a las fuerzas de seguridad 
estadounidenses. «¿Y qué queréis de mí?», preguntó Mert. 

«Vamos, Mert, ¡adivina!». 

Mert, furioso y asustado, sacudió la cabeza. 

«Queremos que nos entregues a Cha0». 
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REGRESO AL HADES 


Durante el rato que pasaron hablando sobre Cha0 y su posible paradero, Mert 
cayó en la cuenta, por sus preguntas y comentarios, de que no conocían ni la 
identidad de Cha0 ni la de Lord Cyric. Los agentes le informaron de que 
tendría que regresar a Turquía, volver a ingresar en Dark Market y desencovar 
a Cha0 y sus colegas. Su sorpresa fue todavía mayor cuando los agentes 
añadieron que uno de los suyos tenía controlado el servidor de Dark Market. 
De esa forma, podrían facilitarle de nuevo el acceso a los foros. 

Por lo que Mert podía colegir, parecía que el FBI había decidido ir a por 
el resto de los miembros importantes de Dark Market: Cha0, Lord Cyric, 
Master Splyntr, Shtirlitz y Grendel. No le dijeron cómo exactamente, pero era 
evidente que le habían reservado un papel decisivo en aquella operación. La 
idea no lo seducía, pero tampoco la posibilidad de pasar una temporada en 
una de las prisiones francesas, que por lo que se rumoreaba eran las más duras 
de toda Europa occidental. 

Los agentes le hicieron unas cuantas promesas más bien vagas y le 
facilitaron el número de teléfono y la dirección de correo electrónico de Lucy 
Hoover, la asistente jurídica agregada a la embajada estadounidense de 
Estambul. Asimismo, le abrieron una cuenta de correo 
(sadinsider(Wgmail.com; el nombre lo eligió el propio Mert) a través de la 
cual podría ponerse en contacto con ella. 

La estancia de Mert en el Languedoc es el segundo episodio no verificable 
de su mundo onírico. Lo que sí es cierto es que se puso en contacto con Lucy 
Hoover, del FBI, que por entonces estaba destinada en Estambul. 

Mert llevaba dos meses fuera del país a su regreso el 2 de marzo de 2008. 
Lo primero era trazar un plan de actuación. Decidió tantear a Haber 7, la 
agencia de noticias y cadena televisiva turca, ofreciéndoles una entrevista en 
la que prometía revelar algunos secretos acerca de Dark Market y el mundo 
del tarjeteo. Es posible que su intención fuera poner sobre aviso a Cha0, 
hacerle saber que se había filtrado información acerca de sus actividades y 
que la policía tal vez estuviera investigándolo. 
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En su inocencia —que, pese a todo, seguía siendo parte integral de su 
carácter—, Mert supuso que Cha0 no sabría quién era en realidad el 
misterioso hacker que ofrecía aquella entrevista a la prensa. Con lo que Mert 
no contaba era con que Haber 7 sacaría una imagen a escondidas de él en el 
McDonald's de Kadikóy, donde se había reunido con el periodista de la 
cadena. Al publicarse la fotografía, Cha0 supo quién se había ido de la lengua 
y puso a Mert bajo el punto de mira. 

Cha0, Lord Cyric y compañía sabían que había una orden de detención 
contra Mert y que Sadun estaba en el calabozo, por lo que imaginaban que 
Mert era vulnerable a la presión policial. La entrevista vino a reforzar sus 
sospechas. En lugar de regresar enseguida a Dark Market, Mert se puso en 
contacto con un joven hacker amigo suyo llamado Mustafa, conocido también 
de Cha0. Mustafa se mostró encantado de poder ganar un poco de dinero fácil 
con el negocio de las tarjetas. 

La familia de Mustafa provenía de Antalya, con lo que Mert tenía una 
excusa para salir de Estambul, donde se sentía inseguro. Se quedó en el sur, 
su parte favorita del país, algo más de un mes. 

Mustafa empezó a operar en Dark Market con el alias MYD y trabó una 
buena relación profesional con Cha0. Lo que Mert no sabía era que Mustafa 
le había advertido a Cha0 que Mert parecía querer traicionarlo. 

Mustafa concertó una reunión con Cha0 en Estambul en cuanto él y Mert 
regresaron al norte. Mert mantenía a Lucy Hoover informada de todos sus 
movimientos y la alertó de que pronto se reuniría con Cha0. Los 
estadounidenses necesitaban identificar a Cha0 y determinar cuáles eran sus 
coordenadas y su infraestructura comunicativa. Por una vez, Mert había sido 
fiel a su palabra: estaba conduciendo a los norteamericanos hacia su presa. 
Cha0 había dado instrucciones a Mustafa para encontrarse frente a un Burger 
King en las proximidades de la estación de metro de Góztepe, en la parte 
asiática de Estambul, a unos tres kilómetros del estadio del Fenerbahce. 

Cuando llegaron a Góztepe se encontraron con Hakan Oztan, un tipo 
fuerte como un toro que había sido el guardaespaldas de Cagatay durante el 
paso de ambos por prisión y que ahora ofrecía sus servicios también a Sahin. 
El guardaespaldas los condujo hasta un edificio con el rótulo «Apartamentos 
Sózdener», en el distrito de clase media acomodada de Suadiye, a unos tres 
kilómetros. Las habitaciones estaban escasamente amuebladas y no eran 
especialmente acogedoras. Hakan les dijo a los dos hombres que esperasen, 
que alguien vendría a buscarlos. 
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No contaban ya con la protección de los espacios abiertos, y menos de la 
Agencia Nacional de Inteligencia. Mert empezaba a temer que Cagatay 
quisiera ajustar cuentas con él. Sin él saberlo, Mustafa, a instancias de Cha0, 
había instalado en su portátil un virus troyano que permitía a Cha0 conocer 
todos los secretos de Mert y, por consiguiente, también su doble juego. Cha0 
no era tan solo un criminal experimentado, sino también un tipo vengativo. 
Ahora poseía pruebas sólidas de que Mert estaba trabajando para la policía. 
Mert suponía (o al menos esperaba) que Lucy Hoover debía de tener el 
apartamento bajo vigilancia de algún tipo, pero no era así, de modo que si 
GCagatay, Sahin, Haktan o los tres aparecían por ahí, estaría metido en un buen 
lío. 

Cuando el timbre sonó el domingo 18 de mayo de 2008 a las diez en 
punto de la mañana, Mert estaba solo en los apartamentos Sózdener. Al abrir, 
se encontró con Haktan. Sin mediar palabra, el visitante pasó y cerró la 
puerta. Con voz alegre, Mert comentó que lo estaba esperando. Haktan se 
quedó mirándolo y dijo: «Espera». Entonces abrió la puerta y entró Cagatay. 
Mert, hasta ese momento sonrojado, se quedó lívido y, finalmente, palideció. 

Gagatay lo obligó a sentarse en una silla y se puso a caminar despacio de 
un lado a otro delante de él, repitiendo: «Mert... Namert... Mert... Namert...», 
un juego de palabras, ya que en turco la palabra mert («valiente») es antónima 
de namert («cobarde»). 

Al momento siguiente, Mert estaba en el suelo recibiendo patadas en el 
estómago, el pecho y las piernas. Entraron otros dos matones, que le taparon 
la cabeza con una manta para que no pudiera reconocerlos y se sumaron a la 
paliza. De vez en cuando, a Mert le parecía ver una pistola apuntándole a la 
cabeza. 

Se desmayó. Cuando volvió en sí, seguía tendido en el suelo. Reparó en 
que había una cámara de vídeo grabándolo todo. Al instalar el troyano en el 
portátil de Mert, Cha0 había descubierto datos relativos no solo a su relación 
con Lucy Hoover, sino también a sus contactos en la Agencia Nacional de 
Inteligencia (de la que no había salido del todo bien parado). 

«Muy bien —dijo Cagatay, que ejercía de maestro de ceremonias—. 
Ahora nos vas a contar toda la historia, desde el principio hasta el final». Mert 
estuvo hasta las tres de la madrugada explicándoles su historia de espías. 
Querían saberlo todo —sobre los agentes infiltrados, sobre los negocios con 
Sadun, sobre la exploración de Dark Market, sobre su novia—, hasta el último 
detalle. 
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Los matones se fueron por fin a dormir, a excepción de uno, que se quedó 
despierto, y cada vez que veía que Mert movía la cabeza, avisaba a los demás 
para regalarle una nueva lluvia de puñetazos y puntapiés. 

El lunes a mediodía, Sahin telefoneó y Cagatay le pasó el aparato a Mert. 
Para entonces, el muchacho no podía ni tenerse en pie. Estaba convencido de 
que iban a matarlo, así que no se sorprendió cuando Sahin le dijo que repitiera 
su declaración. Quedó todo grabado. Cuando hubo terminado, Sahin tomó de 
nuevo la palabra: «Muy bien, ahora ha llegado la hora de tu castigo —dijo sin 
ironía—. Quiero que hagas todo lo que te diga Cagatay. Luego veré qué hago 
contigo». 

Gagatay le dijo que se levantase y se quitara la ropa. Mert, que temió que 
fueran a violarlo en grupo, imploró: «Por el amor de Dios, metedme una bala 
en la cabeza. ¿Se puede saber qué vais a hacer conmigo?». 

«Cállate —replicó Cagatay—, no tienes por qué preocuparte. No somos 
una panda de sodomitas. ¡Déjate puestos los calzoncillos y acepta tu 
castigo!». Por teléfono, Sahin le dictó a Gagatay la infamante nota que 
señalaba a Kier, o Mert Ortac, como traidor y soplón. Así fue como nació la 
leyenda de Kier. El periodista de Haber 7 había encontrado el nombre de Mert 
en una web junto al alias de Kier, pero Mert en realidad nunca había utilizado 
—ami utilizaría— ese nombre; su verdadero alias era SLayraCkEr. Sin 
embargo, después de la fotografía que le tomó Gagatay, periodistas, policías y 
tarjeteros del mundo entero empezaron a referirse a Mert Ortac como Kier, a 
pesar de que nadie lo había llamado así nunca. 

Tras la sesión fotográfica, volvieron a arrojar a Mert al suelo y le echaron 
una manta encima. «Espera aquí media hora. Después puedes marcharte — 
dijo Cagatay—. Te hemos dejado tu ropa y el dinero. También puedes 
quedarte con uno de los documentos de identidad. En adelante, y durante el 
resto de tu vida, ni se te ocurra volver a escribir el nombre de Cha0, porque, si 
lo haces, te encontrarás con mis manos rodeándote el cuello antes de que 
puedas volver a tomar aire». Cagatay no pudo resistir la tentación de añadir 
un toque personal: «Por mí, te habría matado aquí mismo. Pero le caes bien. 
Sé agradecido y mantén la boca cerrada». (Cagatay, en realidad, se tomaba a 
risa que alguien pudiera pensar que deseaba matar a un fracasado como Mert). 

Media hora después, el maltrecho Mert Ortac, con solo cincuenta dólares 
en el bolsillo, salió tambaleándose del apartamento y se dirigió a la estación 
de autobuses nacionales, donde tomó uno con destino a Esmirna. Allí se 
lamería las heridas y pensaría qué demonios hacer. Era evidente que debía 
pasar a la clandestinidad. Así pues, Mert desapareció por última vez... hasta 
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su arresto unos meses más tarde al solicitar un pasaporte con nombre falso en 
noviembre de 2008. 

El mundo onírico de Mert —entre la realidad y la fantasía— abunda en 
muchos otros relatos igual de extravagantes pero, para nuestro propósito, 
podemos terminar aquí. 
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DESCABEZAR AL TURCO 


Antes de que Mert fuera por fin detenido, el inspector Bilal Sen no tenía la 
menor idea de si se hallaba fugado, preso o sencillamente muerto. Lo que sí 
sabía era que el tiempo no jugaba a su favor. Lo único que podía hacer el 
agente era seguir tras la pista de Cha0 con toda la diligencia y paciencia 
posibles. Ahora al menos disponía de la fotografía y el teléfono del remitente 
de la clonadora, y estaba convencido de que eso terminaría conduciéndolo 
hasta Cha0. Gracias a que el esbirro que había entregado la clonadora 
utilizaba uno de los números consignados en la empresa de mensajería, la 
policía pudo «triangular» al sujeto; es decir, que lograron identificar a qué 
antenas telefónicas se conectaba el aparato. No tardaron en hacerse una idea 
exacta de su situación y de sus movimientos habituales. 

Poco después volvieron a avistarlo y empezaron a seguirlo. A los pocos 
días, el tipo los condujo hasta una finca de Tuzla, un suburbio de Estambul 
situado unos veinticinco kilómetros hacia el sur siguiendo la costa asiática. 
Sede de una de las mayores bases navales de "Turquía, la zona, famosa por la 
pesca, era de las pocas en la ciudad que no había sido conquistada por 
edificaciones de nueva planta. La espaciosidad de las casas y el colorido de 
los exteriores lo convertían en un barrio muy cotizado, habitado sobre todo 
por familias pudientes. 

El sospechoso los condujo hasta una lujosa villa con piscina. “Tras varios 
días de observación, el equipo de vigilancia determinó que en la villa vivían 
varios hombres. Bilal no tardó mucho en averiguar quién daba las órdenes. Al 
revisar expedientes, dio enseguida con el de Cagatay Evyapan. 

En la universidad, Gagatay había sido un buen estudiante de ingeniería 
eléctrica. En 1998, había sido detenido por estafa. Dos años después, cometió 
el error de su vida: fue detenido, junto a dos colaboradores, por retirar dinero 
en los cajeros automáticos del puerto de Esmirna con tarjetas de crédito 
clonadas. A los cinco años de prisión —de un total de veintisiete—, la idea de 
seguir encerrado se le hizo insoportable. Un día, en mayo de 2005, Cagatay 
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escaló los muros de la cárcel y eludió el radar. Más que un fugitivo, parecía 
un fantasma. 

Culpaba de su arresto a los tipos con los que trabajaba, y juró que no 
volvería a sucederle. La filosofía de Cagatay podía resumirse en lo siguiente: 
«Si quieres que las cosas salgan bien, hazlas tú mismo». 

Sabía que, durante los cinco años que había pasado en prisión, el mundo 
cibernético debía de haber experimentado cambios sustanciales. Conocía bien 
la ley de Moore, según la cual el número de transistores aplicables a un 
circuito integrado se duplicará cada dos años hasta 2015. Trasladada al 
mundo real, significa que cada año los aparatos son más complejos; los 
programas informáticos, más enrevesados; las herramientas de los hackers, 
más precisas, y las recompensas, por lo tanto, más jugosas. Consciente de 
todo ello, empezó a adaptarse a las nuevas circunstancias. 

Ante todo, necesitaba una nueva identidad cibernética. Cagatay 
desapareció durante casi cuatro años; el nombre de su pasaporte se convirtió 
en el de uno de sus subordinados, el guardaespaldas Hakan Oztan, y en la red 
pasó a ser Cha0 (pronúnciese como el saludo italiano). Utilizaba la primera 
sílaba de su nombre y el número cero desde su primera toma de contacto con 
los BBS en los años noventa. Por entonces, el excepcional sistema de 
seguridad de Cha0 había impedido que nadie lo identificara. En foros 
públicos como Crime Enforcers y Dark Market, Cha0 vendía clonadoras. En 
privado, vendía sistemas de seguridad impenetrables a usuarios informáticos 
que no podían permitirse revelar su identidad. 

Sin embargo, ahora Bilal había dado con él. De todos modos, una cosa era 
localizar el paradero de Cha0, y otra recabar las pruebas pertinentes para 
incriminarlo. La judicatura y la fiscalía turca poseen un grado de 
conocimiento de internet menor que el de sus homólogos en Europa 
occidental y Norteamérica, y de hecho ya eran varios los abogados defensores 
de alto nivel que sabían cómo aprovechar esa ignorancia en beneficio de sus 
clientes y de sus propios honorarios. 

Gagatay estaba disfrutando del verano; era un tipo sociable al que le 
gustaba divertirse con sus amigos. A menudo se dejaba ver en compañía de 
mujeres atractivas, entre ellas, se rumorea, una atrevida integrante de la 
familia real saudí. Le gustaban las bebidas caras, la buena comida y las fiestas 
en yates. Con los años había ganado algo de peso. El dinero parecía lo de 
menos en su búsqueda de un estilo de vida sofisticado. 

Bilal mandó seguir a varios de los colegas de Cagatay: las pruebas 
empezaban a sugerir que Cha0 no solo era Gagatay Evyapan, sino una 
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organización delictiva bien cohesionada. Se enfrentaban a un grupo criminal, 
no a un mocoso inexperto que jugaba a piratear servidores. Por lo demás, 
parecía tratarse de una tendencia en aumento en todo el mundo. Durante 
muchos años, las organizaciones criminales apenas habían prestado atención a 
la delincuencia en la red por parecerles inofensiva, pero eso estaba 
comenzando a cambiar. La delincuencia telemática era cada vez más 
sistemática, eficaz y segura, y empezaba a salir de la incubadora — 
frecuentada por geeks con ganas de jugar y divertirse— para entrar en un 
terreno más adulto: el de las estructuras mafiosas. Por todo ello, era de 
suponer que la presa de Bilal dispusiera de importantes recursos; el inspector 
tendría que emplearse, pues, al máximo para presentar cargos y evitar que los 
tribunales los desestimasen. 

La policía empezó a reunir pruebas. Keith Mularski siguió administrando 
Dark Market mano a mano con Cha0. La operación duró cinco meses largos, 
durante los cuales el archivo de pruebas de Bilal fue aumentando poco a poco. 
Averiguó que el círculo íntimo de Gagatay era relativamente reducido y que 
sus medidas de seguridad eran de una precisión casi militar. Aparte de las 
pruebas —con las que habría podido relacionar a Cagatay con cualquier tipo 
de delito—, existía otro frente abierto: faltaba saber si Cagatay tenía un topo; 
era de esperar que no. 

A finales de agosto, Cagatay se esfumó. En el equipo de seguimiento 
cundió el pánico. No obstante, el periodista de Haber 7 seguía recibiendo 
mensajes, no de Cha0, sino de un tal Yarris, que parecía conocer muy bien las 
actividades de Cha0. Por suerte para Bilal, Cha0 reapareció en Estambul tan 
inesperadamente como se había evaporado. Esto podía interpretarse como un 
signo de la precariedad de la situación. Así las cosas, Bilal decidió fijar la 
fecha de su detención para principios de septiembre. 

El equipo de vigilancia sabía que uno de los residentes en la villa de Tuzla 
salía cada pocos días para comprar provisiones. El 8 de septiembre salió de la 
casa. Bilal Sen estaba en Ankara mordiéndose las uñas, mientras la unidad de 
intervención especial, que tenía rodeado el edificio, lo informaba por teléfono 
de los acontecimientos minuto a minuto. Al regresar el proveedor, se dio 
orden de intervenir: la policía entró en la finca y detuvo a cuatro personas. En 
el lugar había una gran cantidad de ordenadores, docenas y docenas de 
clonadoras, moldes, teclados, datáfonos y mucho dinero en efectivo. La 
operación fue un éxito; nadie resultó herido y todos los sospechosos fueron 
detenidos. 
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Curiosamente, la detención de Cha0 había sido anunciada pocos días antes 
en los foros de la revista Wired, después de que uno de los redactores 
publicara un artículo sobre Dark Market en la web de la revista. Uno de los 
últimos comentarios lo firmaba alguien que afirmaba ser Lord Cyric, el 
administrador de Dark Market. Aseguraba que mantenía contacto directo con 
Cha0 y, con palabras algo crípticas, daba a entender que tal vez algunos de los 
subordinados de Cha0 darían algún día con sus huesos en prisión, pero que 
Cha0 no caería jamás. 

¿Adiós, Cha0? 
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LA MUERTE DE DARK MARKET 


Quienquiera que fuera Cha0 realmente, la inesperada detención de Cagatay 
Evyapan sembró el pánico entre los demás administradores de Dark Market. 
El 16 de septiembre de 2008, menos de una semana después de la redada de 
Estambul, Master Splyntr anunció en la web que los éxitos de la policía 
estaban acabando con los nervios tanto de él como de los demás 
administradores. Ninguno de ellos se sentía capaz de seguir soportando 
aquella carga: 


Resulta evidente que este foro [...] ha atraído demasiado la 
atención de muchos cuerpos de todo el mundo (agentes del FBI, 
el Servicio Secreto y la Interpol). Supongo que era cuestión de 
tiempo que ocurriera. Lamento que se haya llegado a esta 
situación, porque [...] hemos logrado convertir a DM en el foro 
de negocios líder en lengua inglesa. Pero así es la vida. Cuando 
llegas a la cima, la gente intenta derribarte. 


La principal web criminal del mundo anglófono moría en solo una semana. 
Sus seguidores estaban consternados: «Dark Market era nuestro puente para 
los negocios, y si ese puente Cae...», se lamentaba un miembro llamado 
Iceburg en un mensaje colgado en la web de la revista Wired. «Vivan el robo 
y las tarjetas. Mueran las RATAS y el FBI y todos los malditos organismos 
secretos que no solo traen la ruina a nuestra vida y nuestras familias, sino que 
destruyen todo lo que habíamos construido». 

Daba la impresión de que los ciberpolicías habían ganado. Aunque, 
tratándose de Dark Market, las cosas no podían ser tan fáciles. 
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DOBLE TRAICIÓN 


Stuttgart, septiembre de 2007 


Al agente Dietmar Lingel le encantaba su trabajo. La semana anterior, su 
superior le había entregado los registros del proveedor de mensajería 
electrónica canadiense Hushmail. En teoría, el sistema de mensajería de la 
empresa era hermético y garantizaba que nadie pudiera acceder a la 
correspondencia de sus clientes. Hasta cierto punto, la teoría era cierta, pero 
en 2007 la compañía cedió a las presiones de la policía canadiense y permitió 
que las fuerzas de seguridad consultaran sus registros, que revelaban desde 
qué direcciones IP se había consultado una determinada cuenta de correo. La 
Real Policía Montada del Canadá envió al agente Mularski del FBI los 
registros relativos a dos cuentas:  auto432221(Whushmail.com y 
auto496064(0hushmail.com. 

En mayo de 2007, Matrix001 le había enviado a Keith Mularski una 
versión editada de los correos anónimos en los que se le avisaba que estaba 
bajo la vigilancia de la policía alemana. En un primer momento, Mularski 
creyó que la filtración procedía de sus colegas del Servicio Secreto. Por 
entonces, federales y Servicio Secreto tenían abiertas investigaciones 
independientes sobre Dark Market, lo que multiplicaba las posibilidades de 
que se abriera una brecha de seguridad, ya fuera por incompetencia o por 
malicia. Sin embargo, por lo menos otras tres fuerzas policiales tenían 
conocimiento de la existencia de Matrix: las de Gran Bretaña, Francia y, por 
supuesto, Alemania. 

Nadie subestimaba la importancia de aquellos mensajes. Además de la 
probable existencia de un topo, cabía la posibilidad, igualmente inquietante, 
de que alguien hubiera pirateado los ordenadores de alguna de las unidades de 
la investigación. La operación Dark Market empezaba a ir en serio, y las 
detenciones de Matrix001 y JiLsi no eran más que el principio; la intención 
era mantenerla abierta durante los años siguientes. Sin embargo, los mensajes 
ponían en peligro la estrategia urdida a lo largo de dos años de minucioso 
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trabajo. Había que acabar con las filtraciones. La localización de la fuente se 
convirtió en el objetivo prioritario de todos los cuerpos implicados en la 
investigación. 

Con la llegada de los registros de Hushmail a la mesa de Lingel, podía 
comenzar el examen detallado de las pruebas. Como especialista técnico del 
equipo de investigación dedicado a Matrix, Lingel era el encargado de 
dilucidar quién había intentado acceder a aquellas cuentas durante los días en 
que el hacker había recibido los mensajes. 

Lingel vio que una de las direcciones IP desde las que se había intentado 
acceder a las cuentas anónimas provenía de la zona de Stuttgart. La descartó 
de inmediato, pues era la suya. Cuando Keith Mularski había avisado a 
Stuttgart de la existencia de los correos, Lingel había intentado entrar en las 
cuentas de Husmail utilizando algunas contraseñas típicas («admin», 
«password») y Otras pertenecientes a miembros prominentes de Dark Market 
conocidas por la policía. Los demás intentos de conexión provenían de 
direcciones IP de Berlín y otros puntos del país. La mañana del 12 de 
septiembre, durante una conversación con Gert Wolf, su superior en el 
departamento, Lingel explicó que todavía no tenían ningún sospechoso, pero 
que habían conseguido acortar la lista de candidatos. 

Después del almuerzo, Wolf se asomó al despacho de Lingel para decirle 
que tenían que ir a ver al jefe de división. Al llegar al lugar de la reunión, 
Lingel se encontró con un grupo de oficiales esperándolo, entre ellos un 
agente del temible Dezernat 3.5, el departamento de asuntos internos de 
Stuttgart. Su presencia desconcertó a Lingel, que se puso algo nervioso. De 
pronto, el agente dijo: «Señor Lingel, le anunciamos que se abre una 
investigación contra usted por haber avisado presuntamente a un sospechoso 
de que se hallaba bajo vigilancia». 

Lingel se quedó sin habla. Poco a poco, el asombro dio paso a la 
indignación: «Me paso toda la semana trabajando mano a mano con mi jefe 
para resolver este lío —pensó—, y de pronto un día se asoma a mi despacho 
después de comer y me clava un cuchillo por la espalda». 

«Veamos, señor Lingel —continuó el agente—, tiene dos opciones. O 
bien colabora con nosotros en esta investigación, o bien lo ponemos ahora 
mismo en custodia preventiva». 

Lingel aceptó colaborar. Su jefe le dijo que se tomara los días de permiso 
que todavía le quedaban; luego quedaría suspendido hasta nueva orden. 

A sus Cuarenta y tantos años, Lingel era un tipo con una biografía fuera de 
lo corriente. Había nacido en Windhoek, la capital de Namibia, que, bajo el 
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nombre de África del Sudoeste, había sido uno de los pocos puestos 
avanzados de la Alemania imperial durante la época de las colonias. A los 
cinco años, se había mudado con sus padres a Ciudad del Cabo, donde se crio 
hablando inglés y alemán. Regresó a la tierra natal de sus padres para cursar 
estudios y, tras licenciarse, ingresó en la policía, en la división motorizada, 
donde fue ascendiendo escalafones pese a no resultarle un trabajo 
especialmente atractivo. 

Recobró la ilusión al saber, en 2001, que se convocaba una plaza para la 
policía de Baden-Wúrttemberg. El cuartel de Stuttgart necesitaba a alguien 
con experiencia en Linux, un sistema operativo de código abierto, para velar 
por la seguridad de la red. Cinco años después, obtuvo el permiso necesario 
para trasladarse, con sus habilidades informáticas, al departamento de 
investigación criminal, donde empezó a trabajar a las órdenes de Frank 
Eissmann. 

Matrix001 mo era el único ciudadano alemán identificado por Keith 
Mularski como miembro activo de Dark Market. Los otros dos eran Soulfly, 
cuyo verdadero nombre era Michael Artamonow, y Fake, que en realidad se 
llamaba Bilge Úlusoy. En un principio, la fiscalía del Estado intentó acusar a 
Matrix001 de conspiración, pero para ello había que demostrar que estaba 
confabulado con los otros dos hackers. 

Por alguna razón, no obstante, nunca llegó a abrirse ninguna investigación 
contra Fake y Soulfly, en parte por culpa de un juez que en octubre de 2007 
obligó a la fiscalía a retirar los cargos de conspiración y rebajar la acusación a 
la de delito de fraude con tarjeta de crédito. El motivo para evitar una 
investigación contra los dos presuntos conspiradores sería solo el primero de 
los muchos enigmas sin respuesta que acabaron minando la confianza en la 
capacidad de las policías provincial y federal de Alemania para hacerse cargo 
del caso. 

Además, la policía de Baden-Wirttemberg en Stuttgart se jugaba mucho 
en la investigación de Matrix001. Generalmente, todas las comunicaciones de 
los casos internacionales como aquel pasaban por Wiesbaden, pero el jefe de 
la investigación, Frank Eissmann, había logrado convencer a sus superiores 
para que lo autorizaran a mantener comunicación directa con Keith Mularski, 
el hombre clave del FBI. 

De aquí que todo el mundo sintiera un escalofrío al saber por Mularski 
que Matrix001 había recibido un mensaje anónimo desde una cuenta de 
Hushmail en el que se lo advertía de los preparativos para su detención. Las 
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policías de Londres, Pittsburgh y Stuttgart cruzaban los dedos con la 
esperanza de que la fuente no fuera ninguno de sus hombres. 

La detención de Lingel supuso un alivio para los investigadores; por lo 
visto, habían capturado a su hombre. Sin embargo, en diciembre de 2007, el 
Dezernat 3.5 remitió una carta a Lingel en la que se le informaba que no 
habían aparecido nuevas pruebas que lo relacionaran con el envío de los 
correos y que podía reincorporarse al servicio al mes siguiente, a principios de 
2008. Lingel, de todos modos, no regresó al Departamento IV, el que llevaba 
la investigación de Matrix001. Estaba demasiado dolido con Frank Eissmann, 
su superior inmediato, quien por lo visto era parcialmente responsable de 
haber inculpado a su subordinado. 

Según se acercaba el juicio de Matrix, a finales de la primavera, el 
ambiente en los cuarteles policiales de Stuttgart era cada vez más lúgubre y 
proclive a la discordia. La fiscalía sabía que, si no podían presentar cargos de 
conspiración contra Matrix, sería difícil obtener una sentencia de prisión. Por 
lo demás, seguían sin saber cuál era la fuente de las filtraciones. 

Pese al resentimiento de Lingel por lo ocurrido, su incorporación al 
Departamento I fue satisfactoria, y el comportamiento de los compañeros 
hacia él, ejemplar. Tras meses de miradas recelosas, aquello suponía un alivio 
y un cambio para mejor. 

En marzo de 2008, Lingel fue nuevamente detenido. Esta vez, la 
acusación no era haber enviado mensajes a Matrix, sino haber puesto en 
peligro la identidad secreta del agente del FBI Keith Mularski. 
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EL ZORRO SIN MÁSCARA 


En junio de 2008, mientras tenía lugar el juicio de Matrix, Kai Laufen, un 
periodista radiofónico, hojeaba un ejemplar de Technology Review, publicada 
por el MIT, donde dio con un artículo sobre delincuencia informática. Hasta 
entonces, aquel periodista de investigación de Karlsruhe, en el sudoeste de 
Alemania, no tenía la menor idea de que el problema estuviera adquiriendo tal 
magnitud. Sintió curiosidad y decidió averiguar hasta qué punto Alemania se 
veía afectada por delitos de ese tipo. 

Investigador cauteloso y metódico, Laufen comenzó buscando los 
artículos del código penal alemán relativos a la delincuencia telemática. Una 
vez localizados, escribió por correo electrónico a una cincuentena de 
tribunales municipales y de distrito de todo el país para preguntarles si tenían 
algún caso de ese tipo entre manos. 

Recibió solo un par de respuestas, una de ellas referente a un caso de 
fraude con tarjetas de crédito instruido en el juzgado de Góppingen, un 
pequeño municipio de Baden-Wirttemberg a pocos kilómetros de donde vivía 
Laufen. Un joven llamado Detlef Hartmann se hallaba en espera de sentencia 
acusado de trece delitos de clonación de tarjetas de crédito. 

El caso no parecía revestir particular interés, pero Laufen quiso ponerse 
en contacto con la policía provincial de Stuttgart de todos modos. Poco 
después, el inspector Frank FEissmann lo ponía al corriente de las 
características básicas de la delincuencia informática. De pasada, mencionó 
que el FBI había colaborado con el Departamento IV en la investigación 
sobre Hartmann. 

El 2 de julio, al día siguiente de que Detlef fuera suspendido por un 
periodo de diecinueve meses, Kai le escribió solicitando una entrevista, que 
curiosamente le hizo llegar por correo ordinario. Detlef y sus padres 
rechazaron las primeras aproximaciones del periodista, pero al cabo de tres 
meses transigieron. A principios de octubre, Kai se sentó frente al joven ante 
una taza de café. 
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Kai Laufen no era ningún novato. Nacido en el norte de Alemania, había 
pasado parte de su juventud en Brasil y se manejaba con fluidez en portugués, 
español e inglés. Había trabajado por toda Sudamérica y tenía ciertos 
conocimientos acerca del crimen organizado, pero no pudo dar crédito a lo 
que oía cuando Detlef empezó a explicarle la historia de Matrix001 y de sus 
aventuras en el mundo virtual, donde todo el mundo usaba nombres de lo más 
peculiares, se comunicaba en un inglés híbrido —con elementos de la jerga 
gansteril, anarquista y tolkeniana— y traficaba con datos bancarios robados. 

Kai no tardó en comprender el alcance de aquel nuevo tipo de delitos. Con 
la ayuda de internet, los malhechores podían delinquir a miles de kilómetros 
de distancia y perjudicar a multitud de víctimas anónimas que no siempre 
llegaban a descubrir que su intimidad había sido vulnerada y su dinero e 
identidad, usurpados. 

Sin embargo, si tan fácil era, se preguntaba Kai, ¿cómo habían conseguido 
arrestar a Detlef? «Muy sencillo ——respondió este—. Uno de los 
administradores, con el que trabajé durante muchos meses, era un agente del 
FBI. Me siguió la pista y dio aviso a la policía alemana». El periodista pensó 
que el joven quizá sobrestimaba su propia importancia, así que le preguntó si 
disponía de pruebas documentales que lo demostrasen. «Sí —contestó Detlef 
—. Se las enviaré». 

Días después, Detlef le envió a Laufen el escrito de la fiscalía en que se 
describía la acusación contra el joven, redactado en la inimitable jerga judicial 
alemana: 


Según lo demostrado en el dossier de la investigación, el 
administrador que en definitiva poseía control total sobre todas 
las decisiones al menos desde junio de 2006 era el agente del 
FBI Keith Mularski, quien se había ofrecido a hospedar el 
servidor a fin de reunir información más detallada concerniente 
a compradores y vendedores. Remitimos al documento del caso 
148, archivo 1, en que Keith Mularski informa al agente 
investigador de la policía regional Frank Eismann [sic] lo 
siguiente: «Master Splynter [sic] soy yo». Que el usuario 
Master Splynter [sic] gestionaba el servidor queda demostrado 
en virtud del documento del caso 190, correo electrónico de 
Keith Mularski con fecha del 9 de marzo de 2007: «Me han 
pagado por el servidor». 
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Kai estaba tan estupefacto que releyó la frase: «Master Splynter soy yo». No 
se trataba tan solo de que Detlef Hartmann tuviera razón al decir que el FBI 
había seguido su pista digital, sino que fiscalía nombraba al agente por su 
nombre y por su alias. Fin del misterio: Kai Laufen acababa de descubrir la 
verdad acerca de uno de los ciberpolicías más prominentes del mundo. Tres 
meses antes apenas había oído hablar de la delincuencia telemática. 

Kai telefoneó a la Alianza Nacional para la Formación en Informática 
Forense en Pittsburgh y enseguida consiguió que le pasaran con Keith 
Mularski, que lo atendió con su tono de complacencia habitual. Sin embargo, 
cuando el periodista leyó la frase del correo electrónico —«Master Splynter 
soy y0»—, se hizo el silencio al otro lado de la línea. Keith sabía que lo 
habían descubierto. La parte positiva era que quien lo había descubierto era 
un periodista radiofónico del sudoeste de Alemania, por lo que cabía la 
posibilidad de que, pese a estar en la era de internet, la noticia no traspasase 
las fronteras de Baden-Wiirttemberg. Aunque, en el fondo, sabía que era una 
posibilidad remota. 

Otra vez cabía preguntarse quién tenía la culpa de la famosa filtración. 

Kai Laufen ignoraba que la policía de Stuttgart hubiera suspendido por 
segunda vez a Dietmar Lingel. Esta vez el motivo de la suspensión era que el 
agente había cedido de forma intencionada el nombre y alias de Mularski a la 
fiscalía para incluirlos en el expediente del caso. El objetivo de Lingel, según 
se alegó, era sacar la identidad de Mularski a la luz pública con el fin de 
desacreditar al FBI. El móvil, según la investigación, era la insatisfacción de 
Lingel por algunos de los métodos empleados en la investigación sobre 
Hartmann. 

Las alegaciones contra Lingel ponían de manifiesto las diferencias 
fundamentales entre la filosofía policial europea y la estadounidense. Europa 
tiende a rechazar las operaciones encubiertas por arriesgadas y cuestionables 
desde la óptica moral y jurídica. Estados Unidos, por el contrario, recurre a 
ellas de forma habitual, y en el país existe un intenso debate sobre los límites 
entre operación encubierta e incitación al delito. En Europa, algunos sectores 
de la policía consideraban que la operación de Dark Market se hallaba en la 
frontera entre ambas, sobre todo en el caso del Servicio Secreto, que según 
parece alentó a los miembros de la web a cometer delitos (en el caso de Dron) 
en el transcurso de la investigación. El FBI y Keith Mularski defendían a toda 
costa su forma de proceder. Recalcaban que, gracias a la presencia de Keith 
Mularski y su equipo en Dark Market, se había recabado la información 
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necesaria —relativa sobre todo a los planes de expansión de Cha0— para 
evitar pérdidas potenciales por valor de setenta millones de dólares. 

Cuando ya estaba dando los últimos retoques a su reportaje radiofónico 
sobre aquel peculiar pero importante caso, Kai Laufen sufrió una hernia 
discal. Incapaz casi de moverse, el periodista se vio obligado a guardar cama 
dos semanas. Durante ese tiempo llegó a la conclusión de que a nadie en 
Alemania iba a importarle que el FBI hubiera dado caza a un tarjetero alemán 
ni que él, Kai, hubiera descubierto la identidad del agente. Por otra parte, el 
caso de Dark Market había despertado una atención considerable en la prensa 
especializada de Estados Unidos. Liderados por la revista Wired de San 
Francisco, numerosos medios habían publicado artículos sobre el asunto, 
sobre todo a partir del espectacular secuestro de Mert Ortac en abril de ese 
mismo año y la posterior detención de Cha0 en septiembre. 

Kai se sentía en el deber de difundir las pruebas de que Dark Market era 
en parte una operación encubierta del FBI. Pero de la misma manera que el 
Atlántico marca la frontera entre dos culturas policiales, el océano separa 
también los patrones éticos de los periodistas alemanes y de sus colegas 
angloamericanos. (La policía de Gran Bretaña es más europea que 
estadounidense, pero sus gacetilleros tienen aún menos escrúpulos que los de 
Estados Unidos). 

En Alemania se considera mala praxis publicar el nombre completo de 
presuntos delincuentes en proceso de juicio, y en muchos casos los medios del 
país renuncian a hacerlo incluso cuando su culpabilidad ha sido probada. Lo 
mismo ocurre con los agentes encubiertos. Naturalmente, si uno está 
acostumbrado a los medios angloamericanos, esa clase de reparos le parecen 
inconcebibles. 

Así pues, a principios de octubre de 2008 Kai Laufen contactó por 
teléfono con Kevin Poulsen, el editor de la sección de seguridad de la revista 
Wired, y le informó de que podía proporcionarle pruebas documentales que 
demostraban que las fuerzas de la ley habían estado infiltradas en Dark 
Market. Estaba dispuesto a incluir el correo en el que Mularski admitía ser 
Master Splyntr, pero solo con la condición de que Poulsen no publicara el 
nombre del agente. Para incidir en esto último, Laufen terminó el correo en el 
que enviaba los documentos escaneados con el exhorto: «¡Quemar después de 
leert». 

Poulsen recuerda el capítulo de forma distinta: por lo visto, solo se 
comprometió a ocultar el nombre de Matrix. A lo largo de años, él y su 
equipo habían realizado una labor magnífica cubriendo multitud de casos de 
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delincuencia informática, incluido el de Dark Market. En realidad, no hacía 
más que aplicar a su trabajo el mismo celo que en el pasado había demostrado 
como hacker, ocupación que lo había llevado a los tribunales. Evidentemente, 
Poulsen leyó pero no quemó. El 13 de octubre se publicó la noticia. Para 
Master Splyntr, aquello equivalía a una sentencia de muerte. 

Keith Mularski montó en cólera cuando vio su nombre publicado en 
Wired; en un instante, había perdido la confianza ganada a pulso entre los 
tarjeteros. Un par de semanas antes había cerrado los foros de Dark Market 
porque el dominio de JiLsi estaba a punto de expirar. Si Master Splyntr 
hubiera intentado renovarlo, cualquier hacker informado podría haber 
aprovechado la oportunidad para desvelar su identidad. 

La operación Dark Market era la fase inicial de un plan a largo plazo de la 
policía para infiltrarse en el mundo de la delincuencia informática. Durante 
los quince meses anteriores a la aparición del nombre de Mularski en la 
revista Wired, el FBL la SOCA y las demás fuerzas policiales implicadas 
habían identificado a miembros sueltos. Se había excluido la posibilidad de 
una Operación a gran escala, como la del Servicio Secreto contra Shadow 
Crew en 2004. La intención de Master Splyntr era volver a la carga con su 
reputación intacta, armado con su amplia base de datos de los tarjeteros y sus 
actividades. Ahora su plan se había venido abajo. 

De todos modos, los esfuerzos de Mularski no habían caído en saco roto: 
en un llamativo ejemplo de colaboración supranacional entre distintos cuerpos 
policiales, se había conseguido atrapar a Cha0, uno de los peces gordos del 
mundo de las tarjetas, y arrestar a docenas de otros, algunos de los cuales ya 
estaban cumpliendo condena o a la espera de juicio. 

En cualquier caso, ni el agente Mularski ni nadie podía culpar a Dietmar 
Lingel. Contrariamente a lo que afirmaba el Dezernat 3.5, Lingel no había 
filtrado la identidad de Master Splyntr para que figurase en los documentos 
del caso de Matrix. 

Dicho honor le correspondía al detective Frank Eissmann, el jefe de 
Lingel, quien más tarde confesaría haber cometido «una grave equivocación» 
al ceder el documento a la fiscalía del Estado como parte de las pruebas 
policiales contra Matrix. Fue la equivocación de Eissmann la que permitió 
que Kai Laufen identificase a Mularski, lo que a su vez supuso el desplome de 
la operación a largo plazo contra los tarjeteros. 

Dietmar Lingel, no obstante, siguió suspendido y no tuvo noticias de sus 
superiores hasta que el Dezernat 3.5 le informó, en septiembre de 2010, de 
que se celebraría un juicio. La fiscalía había desestimado la tesis de que 
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Lingel hubiera podido filtrar el nombre de Mularski de forma voluntaria y 
había recuperado los cargos del primer momento: se lo acusaba de haber 
informado a un sospechoso de que se hallaba bajo vigilancia. 

Lingel optó por impugnar los cargos. Algo más tarde ese mismo mes dio 
comienzo en Stuttgart el juicio más largo de todos los relacionados con el 
caso Dark Market. Irónicamente, entre las partes no figuraba ningún 
ciberladrón (a excepción de Matrix001 y Fake, que comparecieron en calidad 
de testigos), sino la desacreditada policía de Baden-Wirttemberg y uno de sus 
agentes. Fue un proceso fascinante, celebrado ante un reducido número de 
personas en un pequeño, pulcro y anónimo juzgado de Bad Cannstatt, el 
distrito de los balnearios de Stuttgart. El testimonio de casi una docena de 
actores del drama fue alarmante y revelador de los muchos errores e 
infortunios que habían jalonado la operación tanto en Europa como en 
Estados Unidos. 
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¿QUIÉN ERES TÚ? 


Estambul, octubre de 2008 


Gagatay Evyapan parecía tranquilo en su celda. De vez en cuando, algún 
miembro de la policía de Estambul murmuraba algo acerca de un superagente 
que vendría desde Ankara para hacerse cargo del interrogatorio de Cagatay. 
En Turquía, el tiempo máximo que se puede retener a un sospechoso de 
pertenencia a banda organizada son cuatro días. El prisionero estaba 
impaciente por ver si el gran hombre de la capital iba a presentarse. 

Finalmente, apareció el inspector Sen. Solo necesitaba saber una cosa. 

«¿Quién es el pajarito? ¿Con quién te comunicas? Es lo único que quiero 
saber de ti». 

El prisionero, con gesto atribulado, vaciló. 

«No hay nadie». 
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DE CAMINO A NINGUNA PARTE 


El trabajo del inspector Sen había concluido. Tras la detención, el caso pasaba 
a manos de la fiscalía, según dicta la ley turca. Pero si Cagatay Evyapan era 
Cha0, ¿quién era entonces Sahin, la persona que según Mert Ortac era el 
auténtico Cha0? ¿Era Sahin un simple producto de la imaginación de Mert? 
Al fin y al cabo, Mert tenía un nutrido historial en materia de fantasías y 
exageraciones. 

Pese a su tendencia a la fabulación, la historia de Mert era cierta en sus 
aspectos fundamentales. Trabajó, efectivamente, para varias organizaciones, 
entre ellas la Agencia Nacional de Inteligencia; poseía grandes dotes de 
programación, sobre todo en lo que se refiere a la decodificación de tarjetas 
inteligentes; amasó grandes sumas de dinero vendiendo tarjetas de Digiturk 
falsas, motivo por el que se le abrió una investigación; intentó impresionar a 
la gente organizando fiestas y derrochando dinero; frecuentó los foros de 
Dark Market con las cuentas de Sadun, Cryptos y PilotM; fue de vacaciones 
con su novia al hotel Adam €: Eve de Antalya, y fue secuestrado y humillado 
por Cagatay Evyapan. 

Sin embargo, nunca pudo aportar pruebas de que Cha0 fuera en realidad el 
misterioso Sahin. Mert demostró tener un conocimiento tan detallado del 
funcionamiento interno de Dark Market que, si mentía, alguna organización o 
alguien debía haberle facilitado toda o parte de la información de que 
disponía al respecto. La pregunta —para la que todavía no hay respuesta— es: 
¿por qué? ¿A quién trataban de engañar o desacreditar involucrando al 
extraordinario Mert Ortac? Evidentemente no a Gagatay Evyapan, que en el 
relato de Mert desempeña un papel secundario. ¿A la policía? ¿O quizá a la 
persona que, según Mert, se ocultaba tras Lord Cyric, uno de los pesos 
pesados de la red en Turquía y en el mundo entero? 

La versión de Mert no es menos plausible que la del inspector Sen. La 
clave no está en la identidad de Sahin o Gagatay, sino en el personaje de 
Cha0. No cabe duda de que la persona que ideó la fábrica de clonadoras y 
actuó como administrador de Dark Market fue Cagatay Evyapan. La cuestión 
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es si era Cagatay quien controlaba toda la operación o si trabajaba por cuenta 
de una organización criminal más importante. 

La policía turca detuvo a un total de dos docenas de personas que, a tenor 
de las pruebas, estaban conectadas con la operación de Cha0, de forma directa 
o tangencial. El delincuente virtual no era más que eso: no una persona real, 
sino una amalgama de individuos con diferentes habilidades trabajando en 
grupo. Tiempo atrás, el fundador ucraniano de Carder Planet, Script, ya había 
reconocido que bajo el término genérico tarjetero se congregaban muchos 
perfiles distintos: hackers; diseñadores gráficos; ingenieros electrónicos que 
ensamblaban las clonadoras; personas que las instalaban en los cajeros; otras 
que extraían el dinero; otras que se encargaban de la seguridad, y otras que se 
dedicaban a reunir información, ya fuera para los delincuentes, ya para la 
policía. 

Tanto Cha0 como Script, pues, anticiparon cómo sería el mundo de la 
delincuencia informática después de Dark Market: dejó de ser una comunidad 
de individuos más o menos asociados con el fin de perpetrar delitos puntuales 
para convertirse en organizaciones criminales más sistemáticas en las que 
cada miembro realizaba una función específica: envío de correo basura, 
programación de virus, blanqueo de dinero, gestión de botnets y demás 
actividades propias de la delincuencia virtual. 

Por lo tanto, es posible que Cha0 no fuera sino una operación: una forma 
de reunirlo todo bajo un solo nombre. Cha0 era un nombre colectivo cuyo 
objetivo consistía, en primer lugar, en hacerse al menos con el monopolio 
parcial de la nueva industria del fraude con tarjetas de crédito clonadas. Era 
un plan audaz y habría tenido éxito de no haber sido por el trabajo en equipo 
de Keith Mularski y Bilal Sen, así como por el apoyo de otros cuerpos 
policiales y alguna que otra persona a título individual. 

El grado de organización de Cha0 como entidad apunta también otro 
cambio. Hasta fecha reciente, las hermandades criminales tradicionales 
«tendían a considerar a los delincuentes informáticos como ciudadanos de 
segunda clase», según palabras de uno de los ciberpolicías más destacados de 
la SOCA. Sin embargo, durante la existencia de Dark Market, los cuerpos 
policiales de todo el mundo empezaron a observar que sus investigaciones 
cibernéticas conducían de forma inesperada a bandas del crimen organizado. 

Dentro de Dark Market, podían distinguirse tres núcleos bien definidos. El 
primero lo componían los administradores, moderadores y demás miembros 
con altos cargos «burocráticos». En su mayoría, procedían del entorno hacker 
y contaban con conocimientos informáticos avanzados. Con la excepción de 
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Cha0, sus beneficios no eran cuantiosos y algunos trabajaban directamente 
para la policía o como confidentes. 

El segundo núcleo comprendía a delincuentes hábiles y experimentados 
que en su mayoría trabajaban por cuenta propia, como Freddybb y 
RedBrigade. El grado de competencia informática variaba de uno a otro. Pero, 
en todo caso, si no sabían cómo resolver un problema, sí sabían a quién 
recurrir. Los miembros de esta clase participaban en los foros de Dark Market 
con menor frecuencia que los administradores y su equipo. Su objetivo era 
ganar tanto dinero como fuera posible sin llamar la atención, aunque en 
ocasiones también opinaban y bromeaban sobre la comunidad tarjetera en 
general. 

El tercer núcleo estaba formado por delincuentes con un alto grado de 
profesionalidad, gente prácticamente invisible sobre la que circulaban 
leyendas tanto entre sus colegas como entre la policía. La actividad de estos 
iba más allá incluso de la venta al por mayor de tarjetas de crédito y malware; 
un ejemplo sería el ucraniano Maksik, detenido por la brigada telemática 
turca en Antalya en 2007. El más famoso de todos (de quien se dice que 
suministraba a Maksik buena parte de su material) es el ruso conocido 
simplemente como Sim, que según la policía podría ser otro grupo 
organizado. Los miembros de esta categoría nunca emergen de las sombras. 

El caso de Cha0 resultaba crucial y fascinante porque era la primera vez 
que un perfil que imitaba la estructura de las bandas tradicionales llevaba a 
cabo operaciones a gran escala y trataba de condicionar el funcionamiento de 
una web como Dark Market. Aquella fue la primera prueba de que la 
delincuencia informática no era coto tan solo de ciudadanos de segunda clase, 
sino que empezaba a atraer a figuras más influyentes. 

El crimen organizado tiene una fuerte raigambre en Turquía. Las bandas 
turcas, por ejemplo, controlan el tráfico de heroína hacia Europa occidental 
con la ayuda de grupos kurdos y de los Balcanes. 

A finales de 1996, un Mercedes blindado protagonizó un espectacular 
accidente de tráfico en la pequeña localidad de Susurluk. Entre los fallecidos 
se encontraban el jefe de la academia de policía y el líder del grupo terrorista 
Lobos Grises, incluido en la lista de los más buscados de Interpol por tratarse 
de uno de los mayores traficantes de heroína de Europa, amén de un 
reconocido asesino. El único superviviente fue un diputado del partido por 
entonces en el poder. 

El accidente fue el disparo de salida para que periodistas y oposición 
empezaran a desenmarañar la red de violentos engaños que relacionaba al 
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Estado Profundo con los miembros más influyentes de ciertos grupos del 
crimen organizado. Durante años habían intercambiado amistad, hospitalidad 
y protección. La noticia pilló por sorpresa a la ciudadanía turca y dio un 
impulso significativo a las fuerzas políticas emergentes del país, como la 
plataforma que terminaría convirtiéndose en el AKP, que hizo bandera de su 
lucha contra el crimen y la corrupción. 

El país ha avanzado bastante desde entonces. Pero, cuando las raíces de la 
corrupción y el crimen organizado son tan profundas como en Turquía en los 
años ochenta y noventa, se necesitan décadas para erradicarlas del tejido 
político. Esto explica los temores de Bilal Sen al saber que tal vez Cha0 
contaba con la protección de poderosas figuras de la clase dirigente. Podría 
ser también que, como creen algunos de los colaboradores de Bilal de fuera 
de Turquía, el Cha0 de Dark Market estuviera integrado en una organización 
de mucha mayor envergadura. Las organizaciones criminales turcas tocan 
distintos palos: además del tráfico de heroína, Turquía es un importante 
centro de tráfico de personas (una vez más, por su proximidad a la Unión 
Europea), y en las dos últimas décadas también el volumen de negocio del 
blanqueo de capitales ha aumentado. 

De ser así, Cagatay Evyapan no sería más que el lugarteniente del 
auténtico presidente del holding criminal llamado Cha0. Cagatay sería el 
vicepresidente de la división telemática, y no le importaría volver a ingresar 
en prisión, porque, en términos metafóricos, estaría «interceptando una bala 
dirigida a su jefe». Tal vez Sahin sea el presidente de la compañía. En ese 
caso, el Sahin de Mert sería real y el inspector Sen no habría dado todavía con 
su hombre. 

Dark Market fue clausurado en octubre de 2008, pero nadie —ni policía ni 
delincuentes— tiene la menor idea de cuál es su verdadera historia ni cuál ha 
sido su verdadera importancia. Han pasado tres años y solo unos pocos de los 
Casi cien detenidos en todo el mundo han pasado a disposición judicial. 

Los sistemas jurídicos se están encontrando con un sinfín de dificultades 
para enfrentarse a la naturaleza altamente tecnológica de las pruebas relativas 
a la delincuencia informática, y el hecho de que la mayoría de los delitos se 
cometan en terceros países representa un gran escollo a la hora de detectarlos 
y perseguirlos. Ambigiiedades, dudas, falsedades y disimulos siempre han 
formado parte del modo de actuar del crimen organizado. Internet no ha 
hecho más que magnificar su poder. 
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EL EXPRESO DE MEDIODÍA 


Prisión de Tekirdag, oeste de Turquía, marzo de 2011 


Un hombre vagamente apuesto vestido con un elegante traje negro y corbata a 
juego me escrutó mientras entraba en la pequeña sala oblonga. Sus ojos 
negros y la amplia frente acentuaban su mirada hipnótica y, por un momento, 
me quedé mudo. Ahí estaba el hombre sobre el que tanto había leído, hablado 
y pensado a lo largo de casi dos años. Y ahora que por fin lo conocía, no se 
me ocurría qué decir. 

Llevaba dos años y medio encerrado en prisión, pero no había perdido un 
ápice de distinción y autocontrol. Durante las tres horas que duró nuestra 
entrevista, pude percatarme de que intentaba sonsacarme tanto como yo a él. 

Mi primera visita a Tekirdag había tenido lugar en 1976, justo antes de la 
publicación del libro Expreso de medianoche, que más tarde Alan Parker 
convertiría en película de éxito. El libro narra la historia de Bill Hayes, un 
joven estadounidense que es detenido por intentar sacar droga de Turquía de 
contrabando. Su espantoso suplicio a manos de un sádico funcionario de 
prisiones conmocionó al público europeo y norteamericano. Turquía, por 
entonces, tenía fama de país brutal e implacable. De hecho, durante mi visita, 
fui atacado, mientras dormía en una tienda de campaña, por un grupo de 
matones que gritaban consignas contra los extranjeros. 

Treinta y cinco años más tarde, volvía a la prisión de Tekirdag. Como en 
el caso de Bill Hayes, se trataba de una instalación de máxima seguridad. 
Situada a un kilómetro y medio por una ladera de inclinación moderada, en 
los alrededores solo había campos yermos hasta donde alcanzaba la vista. A 
través del velo tupido que formaba la espesa nieve, acerté a ver los altos 
muros de desvaído color crema de la prisión y las torres de vigilancia, en cuyo 
interior se distinguía la silueta de los centinelas armados con ametralladoras. 
Mi primera impresión fue que nada había cambiado desde la película de 
Parker. 
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Una vez dentro, no obstante, me alivió saber que en aquella parte del país 
al menos las condiciones penitenciarias habían mejorado hasta el punto de 
resultar irreconocibles. "Todos los reclusos disponían de televisor, ducha y 
aseo en la celda. La comida era más bien espartana, pero sin duda nutritiva y 
razonablemente sabrosa, en tanto que los celadores se comportaban con 
cortesía, no solo hacia mí, sino también hacia los presos. En más de un 
aspecto, las condiciones eran preferibles a las de muchas prisiones británicas. 

Había en Tekirdag algunos reclusos notables, entre ellos el instigador de 
la muerte de Hrant Dink, el escritor armenio asesinado por unos extremistas 
sin más motivo que ese, ser un escritor armenio. Tampoco era de extrañar que 
en la prisión estuvieran también algunos de los principales señores de la droga 
de Turquía. 

Entre los distintos terroristas y capos mafiosos, había un representante de 
la más reciente variedad delictiva: la delincuencia informática. 'Tardé más de 
un año en conseguir audiencia con Gagatay Evyapan: tuve que convencer 
tanto a las autoridades turcas como al propio Evyapan. Durante meses, 
pareció del todo imposible. Apenas pude disimular mi estupor cuando, un 
lunes de principios de marzo de 2011, recibí un mensaje de la Dirección de 
Prisiones de Ankara en el que se me informaba que, si Cagatay convenía en 
ello, se me permitiría verlo aquel mismo miércoles. Después, continuaba el 
mensaje, Cagatay sería trasladado y no volvería a haber otra ocasión. 

Lo que las autoridades turcas no sabían, y de saberlo les habría traído sin 
cuidado, era que mi pasaporte se hallaba perdido en algún rincón de la 
sección consular de la embajada china de Londres, a la espera de visado. Mis 
intentos de recuperar el pasaporte para volar a Estambul el martes fueron 
automáticamente rechazados por los funcionarios chinos. Llamé a la prisión 
de Tekirdag y solicité posponer la entrevista un día. Me informaron que, si 
recibían la orden de trasladar a Cha0 antes del jueves, no se me permitiría 
verlo bajo ningún concepto. La búsqueda habría terminado. 

Se comprenderá, pues, mi impaciencia durante el trayecto de Estambul a 
Tekirdag a través de la tormenta de nieve el jueves por la mañana, con un día 
de retraso. Era muy posible que al llegar me dijeran que había perdido la 
oportunidad de reunirme con Cha0. Tras una larga espera, me condujeron a 
través de tres puertas giratorias de acero que se abrían colocando la mano en 
un lector biométrico y me presentaron al alcaide. Lejos de ser un ogro, como 
yo esperaba, era un hombre encantador y afable. Me dijo que no habían 
recibido ninguna orden de Ankara y que después de almorzar en la cantina 
podría hablar con el señor Evyapan. 
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Finalmente, me condujeron hasta la pequeña sala oblonga. Cagatay 
Evyapan es cauto pero seguro de sí mismo. Bilal Sen me había advertido que, 
si mi intención era obtener información mediante añagazas, su instinto lo 
detectaría al instante. Me recordó a Julian Assange, el cerebro de Wikileaks: 
un tipo con una perspicacia portentosa y, a la vez, convencido de su propia 
superioridad intelectual, cosa que en ocasiones puede confundirse con un 
extremo narcisismo. 

Cuando le sugerí que Lord Cyric era Tony —el tipo rechoncho con gafas 
mencionado por Mert Ortac—, resopló con supremo desprecio. «Ha hablado 
con la inteligencia turca, ¿verdad?», me espetó. En cierto sentido, Cha0 tenía 
razón: si Mert mentía (que, admitámoslo, era posible), el tipo de las gafas 
tenía que ser un añadido del MIT, la inteligencia turca. 

Durante la charla, Cagatay me confirmó algunos puntos importantes de la 
historia de Mert, como la situación del apartamento donde fue secuestrado y 
los intercambios de mensajes entre este y Lucy Hoover, la funcionaria de la 
embajada estadounidense. También admitió que lo habían detenido por culpa 
de un error cometido en el mundo real. 

A pesar de su inteligencia, Cha0 confesó tener un gran miedo, que 
irónicamente resultó ser el mismo que el de su más acérrimo enemigo en la 
policía turca. Según Cagatay, en el momento de interrogarlo, uno de los 
agentes lo había invitado a acogerse al programa de protección de testigos. A 
cambio, debería testificar en la investigación de Ergenekon. Lo que le pedían 
era que admitiera haber creado, por cuenta del Estado Profundo, una red 
virtual secreta entre el ejército, los servicios de inteligencia y los medios. La 
policía niega de plano haberle hecho tal oferta. 

Cha0 rehusó. Como el inspector Sen, lo último que quería era verse 
arrollado por la lucha entre el Estado Profundo y el gobierno. En el 
ciberespacio las cosas funcionan de otra manera. 

A lo largo de nuestra charla, Cagatay sugirió que él y un reducido grupo 
de hackers poseían un conocimiento mucho mayor de las cosas que se estaban 
cociendo en el lado oscuro de la red que ningún cuerpo policial. Con esto 
quería dar a entender que su intención tan solo era demostrar la futilidad de 
los intentos de las fuerzas de la ley y el orden por controlar internet; en su 
opinión, siempre irán a la zaga de personas como él. 

Curiosamente, el hecho de estar en prisión y la posibilidad de tener que 
cumplir los veintidós años de su anterior condena del año 2000 parecían 
traerlo sin cuidado. Y eso a falta de saber qué cargos se presentarían contra él 
por su actividad en Dark Market. 
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Al atacar el asunto del FBI y Keith Mularski, su rostro adquirió poco a 
poco una expresión mordaz. «El FBI no tiene nada contra mí. Si así fuera, 
¿por qué Master Splyntr no ha enviado información que la policía turca 
pudiera utilizar en mi contra? —preguntó—. Lo único que pueden hacer es 
manipular al pelele de Ortac para intentar tenderme una trampa». A 
continuación, Gagatay afirmó haber pirateado la base de datos de Mularski y 
haberse hecho con la información reunida por el FBI sobre los miembros de 
Dark Market, él incluido. 

Por supuesto, desde la cárcel Cagatay no podía documentar sus 
afirmaciones. Aseguró que desde el principio había sabido que Splyntr era del 
FBI (a pesar de que Cagatay ingresó en Dark Market a invitación de JiLsi en 
febrero de 2006, fecha en que Master Splyntr ya estaba bien establecido en 
los foros) y que su estrategia consistía en «mantener a los amigos cerca y a los 
enemigos todavía más cerca», de ahí su voluntad de colaborar con Master 
Splyntr en la administración de la página. 

Parecía un buen momento para poner fin a la charla. En definitiva, la de 
Dark Market es la historia de dos hombres, Gagatay Evyapan y Keith 
Mularski, cada uno con su equipo y sus contactos. Cha0 no era un delincuente 
ordinario. A pesar de que su objetivo prioritario era ganar dinero, Gagatay 
parecía convencido de que la lucha entre él y las fuerzas del orden revestía un 
significado más profundo, como si tratara de demostrar su superioridad 
técnica y, por consiguiente, la inutilidad de los intentos de las fuerzas de la 
ley por controlar el ciberespacio. En eso se dejaba ver con fuerza el 
anarquismo original de la cultura geek: los patrones de conducta y los códigos 
morales cambian cuando pasamos de lo real a lo virtual. Las reglas del juego 
son distintas y nuevas. 

El agente del FBI había obtenido la victoria, pero por poco y ni mucho 
menos de forma definitiva. Tres años después de la clausura de Dark Market 
los ecos de aquella extraordinaria empresa criminal siguen resonando por 
prisiones y juzgados de distintos lugares del mundo. Y, por supuesto, son 
muchos los exmiembros de Dark Market que todavía rondan el ciberespacio. 

Internet es un invento trascendental que se ha extendido hasta el último 
rincón de nuestras vidas y hasta la última habitación de nuestros hogares. Pero 
cuidado: Lord Cyric podría estar escondido en algún armario virtual. 
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EPÍLOGO 


A primera vista, la desaparición de Dark Market parecía propinar un golpe 
mortal a la delincuencia en internet. Mas no fue así. Sí sirvió para paralizar 
temporalmente el negocio de algunas de las grandes redes de tarjeteros, como 
las de Cha0 en Turquía, Maksik en Ucrania y Freddybb en Inglaterra. Para los 
demás delincuentes informáticos, el mensaje estaba bien claro: formar parte 
de foros de tarjeteros como Shadow Crew y Dark Market, sobre todo los de 
lengua inglesa con nutridas nóminas de miembros, entrañaba un grado de 
riesgo inasumible. 

Algunas pruebas apuntaban ya que a los miembros de Dark Market, a 
diferencia de a los de Shadow Crew, les interesaba menos labrarse una 
reputación que ganar dinero. El número de mensajes colgados por gente como 
Freddybb disminuyó de forma radical de una web a otra. En Shadow Crew, 
llegó a enviar cincuenta mensajes públicos y doscientos privados; en Dark 
Market, quince y doce respectivamente. El desmantelamiento de Shadow 
Crew a manos del Servicio Secreto estadounidense demostraba de forma 
inequívoca la vulnerabilidad de esa clase de páginas, y Freddybb aprendió la 
lección: mejor pasar desapercibido. 

En cualquier caso, aparte del riesgo de detención, los foros de tarjeteros 
habían perdido su utilidad primigenia. Durante casi un decenio de actividad, 
los delincuentes se habían servido de esas páginas para crear redes globales 
con personas de confianza. A esas alturas, tanto compradores como 
vendedores de datos y documentos obtenidos por vía ilegal tenían ya sus 
mercados. 

Pero lo que sin duda aceleró la desaparición de los foros de tarjeteros fue 
la noticia de que Keith Mularski era Master Splyntr y la revelación de que 
Dark Market era en parte una operación policial encubierta. Aquello truncaba 
la estrategia a largo plazo del FBI y sus socios de Europa occidental, cuyo 
plan consistía en que Master Splyntr reapareciera en el papel del tarjetero 
honrado que había conseguido burlar al FBI y que, por ello, merecía todavía 
más la confianza de la hermandad tarjetera. 
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Después del caso Dark Market, hackers, crackers y delincuentes 
informáticos han pasado a estratos más profundos de clandestinidad digital y 
el negocio ha experimentado una creciente especialización. Hackers y 
programadores de malware desarrollan programas diseñados para sistemas 
específicos o enfocados a buscar un tipo de información muy determinada. 
Luego los venden a los grupos que supervisan los ataques contra las 
instituciones financieras o sus clientes. Cuando han conseguido acceder al 
dinero, contactan con un «mulero», es decir, alguien para quien trabajan 
«mulas financieras» en distintos lugares del mundo. En la red son incontables 
los anuncios en los que se ofrece trabajar desde casa con el ordenador. 
Algunos son obra de muleros. En ellos, le piden a la potencial mula que 
ponga sus cuentas bancarias a su disposición a cambio de un porcentaje de las 
sumas que circularán a través de ellas. 

Esta atomización de la actividad criminal dificulta que las fuerzas de la 
ley averigúen qué operaciones tienen lugar y quién colabora con quién. La 
proliferación de dispositivos y aplicaciones móviles multiplica asimismo las 
oportunidades de los ciberdelincuentes. 

La rápida expansión de internet plantea otro gran problema. Las policías 
de Europa occidental han notado que el tamaño de la comunidad hacker china 
aumenta a un ritmo frenético. Hasta hace poco, la estafa 419, o fraude del 
cargo anticipado, era prerrogativa de los grupos criminales de África 
occidental, principalmente de Nigeria, que fue donde se idearon esos 
mensajes de correo estrambóticos en los cuales se requiere al destinatario que 
ayude a mover varios millones de dólares pertenecientes a un dictador 
fallecido. 

La estafa 419, que toma su nombre de un párrafo del código penal 
nigeriano, es un truco muy viejo; de hecho, el modelo se halla ya en El 
alquimista, una comedia del dramaturgo isabelino Ben Jonson. Básicamente, 
el estafador convence a su víctima de que le adelante una pequeña suma de 
dinero, prometiéndole que más tarde percibirá una cantidad mucho mayor. 
Después, una de dos: sigue exprimiendo a la víctima o desaparece sin más 
con el primer depósito. En tiempos isabelinos ya era posible, pero resultaba 
laborioso. Sin embargo, gracias a internet se ha convertido en un negocio muy 
lucrativo, ya que, por medio de los correos basura, los estafadores pueden 
acceder a un público de decenas de millones de personas, lo que multiplica las 
oportunidades de pescar a algún primo. 

Hay estafas 419 de todo tipo y para todos los públicos. En ocasiones 
llegan en forma de apelación dirigida a los ricos ciudadanos de Occidente 
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para que ayuden a un pobre niño africano. También son frecuentes las cartas, 
faxes y correos electrónicos en los que se suplica, sobre todo a los 
norteamericanos, que donen fondos para erigir una nueva iglesia o patrocinar 
una congregación; en casos así, las víctimas se mueven por un impulso 
bienintencionado y caritativo. Otra presa para los estafadores del 419 son los 
enamorados, en especial viudas y divorciadas de mediana edad que entablan 
relaciones con jóvenes de África occidental, que poco a poco les chupan los 
ahorros a cuenta de unos escarceos sexuales que nunca llegan a producirse. 

Hoy en día, las estafas 419 proceden de China y están escritas tanto en 
chino como en inglés. El fraude suele ser un complemento de otra de las 
especialidades de los hackers chinos: el robo de artículos en MMORPG 
(tortuosas siglas para un tortuoso nombre: juegos de rol multijugador masivo 
en línea) como World of Warcraft o los juegos de «reales» como Second Life 
o Habbo Hotel. Todos estos juegos funcionan con dinero digital que puede 
convertirse en dinero auténtico, lo que a su vez confiere valor a los bienes y 
servicios virtuales, que los jugadores pueden adquirir para mejorar su 
experiencia del juego. Aunque no son los únicos, los hackers chinos han 
aprendido a «robar» artículos y dinero digital para convertirlo en dinero real. 
El tremendo potencial informático de China sigue en buena medida sin 
explotar, a pesar de que en muchos sectores relacionados con la seguridad 
informática de ámbito civil y militar se considera que es el segundo país en la 
jerarquía global, por detrás de Estados Unidos. A medida que China descubra 
sus posibilidades, la naturaleza de internet se irá modificando. 

Para combatir estas crecientes amenazas, los gobiernos y la industria 
destinan hoy en día cientos de miles de millones de dólares a la seguridad 
informática, ya sea a través de medidas policiales, de la protección de la 
propiedad intelectual o en el terreno militar. Casi todos esos fondos se 
invierten en tecnología, con la idea de mantener la red limpia de códigos 
maliciosos, malware y virus que merodean por el ciberespacio a la búsqueda 
de redes desprotegidas que atacar. 

Por el contrario, apenas se invierte en intentar determinar quién piratea y 
por qué. Nadie distingue entre los hackers de Wikileaks, los de los ejércitos 
estadounidense o chino, los de las organizaciones criminales y los simples 
curiosos. 

Y sin embargo, los hackers son una raza extraña y muy particular. Su 
perfil psicológico y social difiere, en general, de los de los delincuentes 
tradicionales —sobre todo el de aquellos cuyo papel resulta clave para abrir 
oportunidades de negocio ilícitas en la red pero no sienten gran interés por el 
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dinero—; en otras palabras: son geeks. Comprender sus capacidades y 
motivaciones a la hora de cometer determinadas acciones sería de gran 
beneficio para una industria de la seguridad dependiente en exceso de las 
soluciones técnicas. En las raras ocasiones en que las fuerzas de la ley o el 
sector privado siguen la pista de un hacker hasta conseguir su procesamiento 
y condena, casi nunca se trata de comprender al malhechor. En vez de ello, 
los sistemas penales de Europa y Estados Unidos intentan imponerle duras 
sentencias de prisión y restringir su acceso a los ordenadores. 

Habida cuenta de su peculiar perfil psicosocial, se trata de un gran error. 
En primer lugar, habría que tener en cuenta la edad: la mayoría de los hackers 
son muy jóvenes cuando se introducen en actividades calificables, al menos, 
de ambiguas desde la óptica jurídica. Al igual que Detlef Hartmann, pueden 
sentirse tentados de cometer acciones ilegales en la red antes de que su 
brújula moral haya evolucionado del todo y sin tener una idea muy clara de 
las consecuencias de sus actos. 

En la vida real, a menudo son personas psicológicamente vulnerables, lo 
que significa que encerrarlos con criminales de verdad puede ser muy 
contraproducente, como en el caso de Max Vision. Si bien su ego es 
imprevisible, todo el mundo concuerda en que posee un cerebro superdotado 
y unos conocimientos sin parangón en materia de ciberseguridad. En un 
mundo en que los especialistas en seguridad informática escasean y en que las 
amenazas son cada vez más numerosas, parece una insensatez confinar en la 
cárcel a quien podría ser un fenomenal aliado. No estoy afirmando que los 
hackers que hayan delinquido no deban ser castigados, sino que la necesidad 
de la rehabilitación no es tan solo un imperativo moral del Estado, sino un 
valor práctico en potencia. 

Raoul Chiesa, antiguo hacker, dirige un pequeño centro académico 
conocido como Hacker Profiling Unit, con sede en Turín y financiación de 
Naciones Unidas. Su investigación se basa en su hondo conocimiento de la 
comunidad hacker y en las respuestas de los hackers a los cuestionarios que 
les envía. Los primeros resultados de su trabajo dan pistas importantes sobre 
la identidad del colectivo. 

Lo más llamativo es la desigualdad entre sexos que domina no solo en la 
parte ilegal de la red, sino también en la organización y la gestión de internet 
en su conjunto. Este punto apenas se trata en las páginas del presente libro, 
pero merece un estudio más detallado. Si en todo el mundo los hombres 
dominan todavía la política y la economía, su predominio alcanza niveles 
extremos en lo que se refiere a las nuevas tecnologías. Por supuesto, hay 
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mujeres muy activas en el terreno de las nuevas tecnologías y los nuevos 
medios, pero en términos estadísticos no representan más que un pequeño 
porcentaje: según Chiesa, solo un cinco por ciento. Los hackers son, casi 
invariablemente, hombres. 

Un segundo hallazgo del estudio de Chiesa es que el hacker tipo es 
inteligente o muy inteligente. Además, se demuestra que muchos de ellos, 
Casi el cien por cien, poseen conocimientos avanzados en ciencias: física, 
matemáticas y química. Por el contrario, demuestran un nivel de competencia 
más bien bajo en humanidades. 

Queda, por último, el crucial asunto de las relaciones entre hackers. La 
mayor parte de los hackers —pero no todos— se sienten más cómodos 
estableciendo relaciones en el entorno impersonal de la red que en la vida 
real. Lo interesante aquí es el porqué. 

Lo habitual es que los hackers se introduzcan en el mundillo cuando son 
adolescentes, a una edad en que la mayoría de las personas encuentran 
dificultades para trabar relaciones, sobre todo con el sexo opuesto; de modo 
que, al menos en parte, sus dificultades en ese terreno son del todo normales. 
Sin embargo, Chiesa ha descubierto que un número enorme de hackers 
admiten tener problemas para comunicarse con la familia, en especial con los 
padres. 

La lectura del estudio de Chiesa y mis propias entrevistas con distintos 
tipos de hackers me hicieron acordarme de Simon Baron-Cohen, profesor de 
Psicopatología del Desarrollo en la Universidad de Cambridge. Su labor 
pionera en el campo del autismo ha conducido a una comprensión más 
profunda de los patrones de conducta del espectro masculino/femenino. En 
general, los varones típicos muestran una mayor Capacidad para 
«sistematizar» el mundo exterior, mientras que las mujeres tienen más 
facilidad para «empatizar». Esto no quiere decir que las mujeres no sepan leer 
los mapas y que los hombres no sepan escuchar; implica tan solo que existe 
una marcada tendencia en un sexo (el masculino) a la «sistematización» y en 
el otro (el femenino) a la «empatía». 

En investigaciones posteriores, Baron-Cohen ha descubierto un nexo entre 
las mentalidades extremadamente masculinas, que en ciertos casos podrían 
calificarse de «autistas», y los fetos que quedan expuestos a elevados niveles 
de testosterona en el vientre materno. Se trata de una tesis controvertida, pero 
en muchos aspectos convincente y, sin duda, valiosa a la hora de estudiar a 
los hackers y sus patrones de conducta. No todos los hackers son autistas, 
desde luego; de hecho, muy pocos lo son (aunque a algunos de los más 
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conocidos, como Gary McKinnon, en busca y captura en Estados Unidos por 
piratear la red del Pentágono, se les haya diagnosticado el síndrome de 
Asperger). 

Si la investigación sigue adelante, quizá en el futuro será posible detectar 
rasgos de la personalidad de los hackers entre los niños en edad escolar. De 
ese modo, compañeros y mentores podrían ayudarlos a potenciar sus 
habilidades y, a la vez, facilitarles directrices éticas para que canalizasen sus 
capacidades en la dirección adecuada. La palabra hacker suele tener 
connotaciones peyorativas, pero en realidad los conocimientos de estos 
individuos son un activo personal y social. Los ordenadores y las redes nunca 
serán seguros sin la protección de hackers expertos. Algunos ya trabajan en 
esa dirección. Según mi experiencia, el 90 por ciento de los hackers 
involucrados en actos delictivos expresan fuertes deseos de trabajar dentro de 
la industria de la seguridad legal; aunque sobre ellos pesen condenas, debería 
dárseles la oportunidad de hacerlo. 


Adewale Taiwo, alias Freddybb 


El 1 de enero de 2009, el Tribunal de la Corona de Hull condenó a Adewale 
Taiwo a cuatro años de encarcelamiento por conspiración con ánimo de estafa 
entre junio de 2004 y febrero de 2008. En noviembre del año anterior ya se 
había declarado culpable de uno de los cargos y había admitido la sustracción 
de algo menos de seiscientas mil libras de cuentas corrientes de distintos 
países. El juez recomendó que, al término de la sentencia, fuese deportado a 
Nigeria. 

Gracias a una reducción de pena por buena conducta, Taiwo debía quedar 
en libertad el 29 de agosto de 2010. Dos semanas antes había comparecido 
ante el tribunal de Grimsby, en la otra orilla del estuario de Humber. Se 
trataba de una vista estipulada por la ley de incautación de bienes ilícitos, una 
de las pocas reformas sensatas que Tony Blair introdujo en el sistema penal, 
en virtud de la cual el Estado puede recuperar los bienes obtenidos con malas 
artes por los criminales. Pese a la seriedad del caso, la sesión terminó 
convirtiéndose en una comedia bufa. El fiscal había perdido un archivo 
crucial, lo que produjo una reacción inesperada por parte del juez Graham 
Robinson, cuyo buen humor inicial no tardó en convertirse en irritación. 
Anunció que no estaba dispuesto a retrasar la vista, por lo que las partes 
tendrían que llegar a un acuerdo de forma más o menos inmediata. Eso 
beneficiaba claramente a Adewale. El juez terminó fijando una cifra algo 
superior a 53 000 libras, un recorte considerable con respecto a la suma inicial 
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de 353 067 libras. El reo declaró que se negaba a pagar, lo que suponía que 
tendría que pasar un año más en prisión. El 7 de abril de 2011 fue deportado a 
Nigeria. Taiwo fue uno de los personajes más inteligentes de cuantos 
frecuentaron los foros de tarjeteros, y durante mucho tiempo llevó con éxito 
una doble vida como ingeniero químico y ciberdelincuente. 


Detective sargento Chris Dawson 


El sargento Chris Dawson trabajó en el caso de Freddybb con una diligencia 
fuera de lo común y sacrificó muchas horas libres para asegurarse de que 
aquel revoltijo de cifras, fechas y detalles tecnológicos resultara comprensible 
a los legos cuando llegara a los tribunales. Durante uno de los descansos de la 
vista de incautación de bienes, Dawson creyó oír a Taiwo diciendo: «A la 
mierda, no pienso pagar». Cuando el juez abandonó la sala, el detective se 
marchó indignado ante la incompetencia del sistema judicial inglés. 
Sigue trabajando como oficial superior de homicidios en Hull. 


Dimitri Golubov 


Tras ser detenido en Odesa, el hacker Dimitri Golubov pasó cinco meses y 
medio en prisión, durante los cuales fue interrogado por agentes 
estadounidenses, entre ellos Greg Crabb del Servicio de Inspección Postal. No 
obstante, a raíz de la intervención de dos diputados ucranianos, un tribunal de 
Kiev decretó su puesta en libertad y lo exoneró de todos los cargos en 2009. 

Golubov, que mide casi un metro noventa y tiene unos ojos de color azul 
hipnóticos, niega todo vínculo con Script, aunque su versión de los hechos 
contiene incoherencias y las pruebas digitales que obran en manos de las 
fuerzas de seguridad estadounidenses indican lo contrario (por ejemplo, datos 
extraídos del ordenador de Roman Vega en los que se confirma que Script y 
Golubov eran la misma persona). 

Script se esfumó tras su salida de prisión, pero Golubov reapareció con 
una nueva iniciativa empresarial y de cambio social: el Partido de Internet de 
Ucrania. Golubov, que sigue residiendo en Odesa, ha elaborado un programa 
político destinado a combatir la corrupción, la pornografía y el tráfico de 
drogas a través de internet. Confía en que, en el plazo de diez años, será 
elegido primer ministro o presidente de Ucrania. Si por el momento esa 
parece una posibilidad remota, no hay que subestimar su audacia y ambición. 
El Partido de Internet ha presentado varias docenas de candidatos a las 
elecciones municipales de Odesa, y aunque hasta ahora solo ha conseguido un 
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representante, no cabe duda de que el movimiento está ganando fuerza en 
todo el país. 

Lo curioso es que, a pesar de su rígida postura moral con respecto a 
ciertos delitos, como por ejemplo la pornografía infantil, Golubov ha 
emprendido una campaña a favor de la liberación de Maksik, el famoso 
tarjetero, que cumple una condena de treinta años en Turquía. 


Roman Vega 


Roman Vega permanece en prisión desde su arresto en Nicosia en febrero de 
2003. Extraditado a California en junio de 2004 a petición de Estados Unidos, 
lleva en la cárcel desde entonces, aunque no ha sido juzgado. En el momento 
de redactar estas líneas, se halla en el Centro de Detención Metropolitano de 
Brooklyn, un presidio de lo más espartano en las proximidades de la bahía de 
Gowanus. Durante todo este tiempo, Vega no ha recibido más visitas que las 
de sus representantes legales. 

En agosto de 2007 se celebró una vista presidida por el juez Charles 
R. Breyer en el Tribunal del Distrito del Norte de California. Fiscalía y 
defensa se avinieron a firmar una negociación que dejaría en libertad a Vega 
por haber cumplido ya los cuarenta y seis meses de prisión acordados entre 
los abogados. Pero, la tarde anterior a su puesta en libertad, un fiscal del 
Distrito del Este de Nueva York presentó una nueva serie de cargos y solicitó 
el traslado de Vega a Brooklyn. Los cargos eran, básicamente, los mismos 
que en California, pero el letrado de la fiscalía de Nueva York presentó su 
acusación acogiéndose a un estatuto distinto para sortear las leyes que 
impiden juzgar a alguien dos veces por el mismo delito. 

La transcripción de la vista demuestra a las claras que el juez Breyer, 
hermano de Stephen Breyer, miembro del Tribunal Supremo, sentía 
vergiienza e indignación por la estratagema utilizada por el fiscal del Distrito 
del Este de Nueva York. La base para la nueva acusación fue información 
facilitada por los agentes del Servicio Secreto. 

Tras la llegada de Vega a Brooklyn, el Servicio Secreto le ofreció un 
trato: si testificaba contra Dimitri Golubov y algunos miembros de la clase 
dirigente ucraniana (no hackers, sino importantes figuras políticas), retirarían 
los cargos. Si se negaba, presentarían nuevas acusaciones archivadas en otros 
estados de la Unión. No lo dejarían en paz hasta que aceptase colaborar. 

Fuera cual fuese su decisión, Vega ya ha pasado en prisión el triple de 
tiempo que el resto de los condenados por los mismos delitos en Shadow 
Crew. Sobre él pesan todavía dos casos sin resolver y la amenaza de más en el 
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futuro. Vega sufre de caries desde hace años y padece dolores constantes que, 

en ocasiones, le impiden alimentarse de manera adecuada, pero la Oficina de 

Prisiones y el Cuerpo de Alguaciles se niegan a prestarle asistencia médica. 
No está previsto que Vega quede en libertad en el futuro inmediato. 


Maksim Kovalchuk, alias Blade 


Kovalchuk fue detenido en marzo de 2003 en Tailandia y extraditado a 
Estados Unidos, donde cumplió cuatro años de prisión. El FBI consintió en 
negociar un acuerdo y quedó en libertad en 2007, tras lo cual volvió al 
anonimato en Ucrania. Su liberación por parte del FBI contrasta 
ostensiblemente con la obstinación del Servicio Secreto en retener a Roman 
Vega. 


Renukanth Subramaniam, alias JiLsi 


El 26 de febrero de 2010, Subramaniam se declaró culpable de un cargo de 
estafa con tarjeta de crédito y cuatro cargos de fraude hipotecario, por los que 
el juez del Tribunal de la Corona de Blackfriars lo condenó a cuatro años de 
prisión. En el momento de escribir este libro, se halla recluido en la prisión de 
Wormwood Scrubs, en el oeste de Londres, por donde han pasado figuras 
como el compositor sir Michael Tippett y Keith Richards, el guitarrista de los 
Rolling Stones. 

Gracias a una reducción de pena por buena conducta, se prevé que 
Subramaniam quede en libertad en julio de 2012. El grueso de su caso no se 
refiere a Dark Market, sino al fraude hipotecario. La fiscalía presentó cinco 
cargos por tal concepto (aunque tres de ellos fueron negados por las 
instituciones financieras). A pesar de que el fraude hipotecario es de por sí 
constitutivo de delito, la fiscalía sugirió que existía relación entre las 
ganancias que Subramaniam obtenía con Dark Market y los fondos con los 
que pagaba las hipotecas. Subramaniam, por su parte, asegura que no es 
responsable del pago de las hipotecas, puesto que lo que hacía era pedirlas en 
nombre de amigos que no habrían podido permitirse solicitarlas a título 
propio. Además, Subramaniam se halla a la espera del resultado de su juicio 
de incautación de bienes para saber si debe confiscársele aún más patrimonio. 
Contra él pesa una orden preventiva, en aplicación de la cual no podrá 
interactuar con ordenadores sin supervisión durante los cinco años siguientes 
a su salida de prisión. 
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Detlef Hartmann, alias Matrix001 


El 9 de octubre de 2007, el Tribunal Regional de Stuttgart dictaminó que 
Hartmann debía ser juzgado por trece casos de fraude con tarjeta de crédito. 
El mismo tribunal anunció, no obstante, que rechazaba la propuesta de 
procesamiento por conspiración con ánimo de delinquir. Desestimado el más 
grave de los cargos, Hartmann salió de la prisión de Stammheim, donde había 
pasado los cuatro meses anteriores. La clave de la decisión que impidió 
juzgarlo por conspiración debe buscarse en la interpretación que hizo la sala 
de la Ley Fundamental alemana, su Constitución, en la que se establece que 
todo miembro de una conspiración debe formar parte de un «grupo unificado» 
en el que se presuma «la subordinación del individuo a la voluntad del 
colectivo». El juez afirmó que la naturaleza fluida de internet y la estructura 
de afiliación de Dark Market no satisfacían dicho criterio; una decisión que, 
como es evidente, tiene importantes consecuencias en lo que se refiere a la 
redacción de leyes relacionadas con la delincuencia en internet en Alemania. 

En julio de 2008, Hartmann obtuvo una suspensión condicional de 
condena de veintiún meses por los cargos de fraude. Desde entonces ha 
retomado sus estudios de diseño gráfico y se ha desvinculado totalmente de 
los grupos clandestinos. 


RedBrigade 


Se halla prácticamente rehabilitado y vive en Europa. 


Max Vision, alias Max Butler, alias Iceman 


El 12 de febrero de 2010, un tribunal de Pittsburgh condenó a Max Vision a 
trece años de cárcel, la mayor pena de prisión jamás dictada contra un hacker 
por un tribunal estadounidense. Según los cálculos de la fiscalía, sus 
operaciones habían provocado pérdidas por valor de más de ochenta y cinco 
millones de dólares. Actualmente, se halla recluido en la Institución 
Correccional Federal de Lompoc, en el sur de California, donde no se le 
permite el acceso a ordenadores de ninguna clase. 

Las habilidades de pirateo de Vision no conocen parangón; se trata sin 
duda de uno de los hombres más inteligentes de cuantos cumplen condena en 
Estados Unidos. En una entrevista a puerta cerrada en el otoño de 2010, 
discutí su caso con uno de los máximos responsables de la rama de amenazas 
cibernéticas del Departamento de Seguridad Nacional. El funcionario convino 
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conmigo en que tener a un experto informático tan capaz como Vision 
pudriéndose en prisión era quizá un desperdicio de capital humano, pero 
señaló también que su ego —casi tan grande como su inteligencia— era otro 
factor importante a tener en cuenta. 


Nicholas Joehle, alias Dron 


Joehle ha salido de prisión tras cumplir su condena por fraude con tarjetas de 
crédito y producción ilegal de máquinas clonadoras. 


Hakim B, alias Lord Kaisersose 


Lord Kaisersose se encuentra en libertad bajo fianza en Marsella, a la espera 
de juicio. Francia es otro país en el que convendría engrasar un poco las 
ruedas de la justicia. 


Cha0 


Cha0 puede hallarse al frente de su negocio en Eslovenia o en prisión: 
depende de si Cha0 es en realidad Sahin o Gagatay Evyapan. Este último se 
encuentra en prisión preventiva en Tekirdag, uno de los centros penitenciarios 
más seguros de Turquía. Se prevé que sea juzgado este año, pero el fiscal ha 
desestimado los cargos más graves de pertenencia a banda organizada. 


Mert Ortac, alias SLayraCkEr 


Mert se encontraba en prisión preventiva en una cárcel de Estambul a la 
espera de juicio por el caso Akbank cuando en marzo de 2010 quedó en 
libertad gracias a un tecnicismo jurídico. En noviembre de 2010 volvió a ser 
detenido y, en el momento de redactar estas páginas, sigue en prisión 
preventiva. De todas las personas implicadas en Dark Market, Mert es una de 
las más dotadas, pese a su carácter díscolo e imprevisible. 


Keith Mularski y Bilal Sen 


Siguen patrullando las malas calles del mundo virtual. 


Lord Cyric 
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¿Quién es? La búsqueda continúa... 
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NOTA SOBRE LAS FUENTES 


El grueso de la información contenida en este libro es fruto de unas doscientas 
horas de entrevistas llevadas a cabo entre 2009 y 2011. Leonida 
Krushelnycky dedicó también varias horas a la realización de entrevistas. 

Además, he recurrido a dos fuentes documentales principales. En primer 
lugar, las actas judiciales de varios procesos relacionados con los sitios web 
Carder Planet, Shadow Crew y Dark Market. En segundo término, los 
archivos de las propias webs, en especial las dos primeras, que siguen 
disponibles en la red. Por desgracia, el archivo de Dark Market no es tan 
accesible. Me consta la existencia de una única copia, pero obra en manos del 
EBL, que, por razones operativas, no está facultado para compartirla. 

Existe una cantidad considerable de literatura sobre los temas de la 
delincuencia telemática, el ciberespionaje industrial y la guerra informática, 
buena parte de ella en internet. Por su rigor, quisiera destacar el trabajo de 
Kevin Poulsen y su equipo, cuyo blog (Threat Level) está a la vez bien escrito 
y debidamente documentado. No puedo dejar de recomendar dos libros que 
abordan de forma específica la delincuencia informática: Kingpin, de Kevin 
Poulsen, y Fatal System Error, de Joseph Menn. Para una introducción más 
amplia a los problemas derivados de la tecnología de internet, la primera 
parada debería ser The Future of the Internet: And How to Stop It, de 
Jonathan Zittrain. 

Otros blogs de gran valía son Krebsonsecurity, de Brian Krebs; el boletín 
Crypto-gram, de Bruce Schneier; el blog de F-Secure, una empresa de 
seguridad informática finlandesa, y, por último, Zero Day, el blog de Dancho 
Chanchev y Ryan Naraine en ZDnet. 
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António Francisco Bonfim Lopes (conocido como Nem) en Rocinha 
(Pequeña granja”), una favela (barrio pobre). 
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[1 La distinción más sencilla, si bien incompleta, entre virus, gusanos y 
troyanos, conocidos en conjunto como malware, radica en sus vías de 
transmisión: los virus se contagian a través de archivos infectados remitidos 
por correo electrónico; los troyanos, a través de las descargas; los gusanos, 
por su parte, poseen la capacidad de autorreplicarse en un ordenador huésped 
para después utilizar los programas de comunicación de ese mismo equipo y 
extenderse a otros. A la postre, todos resultan perjudiciales. << 
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121 Siglas del Massachusetts Institute of Technology; no deben confundirse 
con las de la Agencia Nacional de Inteligencia de Turquía. << 
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